Bitrefill accuse les pirates nord-coréens de l’exploitation du 1er mars et s’engage à couvrir les pertes

Bitrefill a publié un rapport complet sur une violation de sécurité survenue le 1er mars, et il pense qu’il s’agit de l’œuvre du groupe de piratage nord-coréen appelé Lazarus Group. 

Le groupe Lazarus était également responsable de la plus grande attaque unique de l’histoire de la crypto lorsqu’il a attaqué Bybit début l’année dernière pour plus d’un milliard de dollars.

L’entreprise a été transparente sur la manière dont l’incident s’est produit, mais n’a pas divulgué le montant exact volé. Bitrefill affirme que son réseau a été compromis via l’ordinateur portable d’un employé, ce qui a entraîné le vidage de plusieurs portefeuilles chauds (hot wallets). 

Bitrefill a-t-il caché qu’il avait été piraté ?  

Bitrefill a publié un rapport détaillé (post-mortem) concernant une violation de sécurité qui a débuté le 1er mars. L’entreprise a officiellement attribué l’attaque au groupe de piratage nord-coréen connu sous le nom de Lazarus Group ou Bluenoroff, en raison des preuves qu’elle a examinées, basées sur le malware spécifique utilisé, le modus operandi des attaquants, la traçage on-chain des fonds volés et la réutilisation d’adresses IP et d’adresses e-mail spécifiques précédemment liées aux opérations nord-coréennes.

L’incident a commencé lorsqu’un ordinateur portable d’un employé a été compromis et utilisé comme point d’entrée initial pour les pirates afin d’accéder à un ancien identifiant. Cet identifiant a donné aux attaquants accès à une capture instantanée (snapshot) des systèmes de l’entreprise contenant des secrets de production. 

Avec ces secrets en main, le Groupe Lazarus a ensuite pu étendre son accès à l’infrastructure de Bitrefill. Ils ont finalement atteint des parties de la base de données de l’entreprise et plusieurs portefeuilles chauds de cryptomonnaies.

L’équipe de sécurité de Bitrefill a d’abord remarqué la violation à travers des « schémas d’achat suspects » impliquant leurs fournisseurs. Les attaquants exploitaient le stock de cartes-cadeaux de l’entreprise et les chaînes d’approvisionnement. 

Simultanément, l’entreprise a réalisé que des fonds étaient vidés de ses portefeuilles chauds et transférés vers des portefeuilles contrôlés par les attaquants. 

En réponse, Bitrefill a immédiatement mis tous les systèmes hors ligne pour contenir la menace, mais étant donné que le réseau de commerce électronique mondial de l’entreprise compte des milliers de produits et des dizaines de fournisseurs, le processus d’arrêt sécurisé et de redémarrage des infrastructures a pris plus de deux semaines. 

Combien a été volé lors de la violation de Bitrefill ?

L’enquête de Bitrefill a révélé que les pirates n’étaient pas très intéressés par le vol de données clients ; d’ailleurs, ils n’auraient pas pu le faire. L’entreprise a souligné que son modèle commercial est conçu pour stocker très peu d’informations personnelles. Il ne nécessite pas de documentation obligatoire « Know Your Customer » (KYC) pour la plupart des utilisateurs, et les données fournies pour une vérification de niveau supérieur sont gérées par un fournisseur externe et n’étaient pas stockées sur les systèmes qui ont été compromis.

Cependant, les attaquants ont accès à environ 18 500 enregistrements d’achat. Ces enregistrements comprenaient les adresses e-mail des clients, les adresses de paiement en cryptomonnaie et des métadonnées telles que les adresses IP. 

Environ 1,000 des clients de Bitrefill qui devaient fournir des noms pour des produits spécifiques avaient leurs données chiffrées. Cependant, comme les pirates ont peut-être accès aux clés de chiffrement, Bitrefil traite ces données comme potentiellement compromises et a déjà envoyé des e-mails aux personnes concernées.

En ce qui concerne les pertes financières, Bitrefill a annoncé qu’il en absorberait l’impact. Bien que les portefeuilles chauds aient été vidés, l’entreprise a déclaré qu’elle reste bien financée et qu’elle est rentable depuis plusieurs années. Tous les soldes des utilisateurs restent sûrs et inchangés. 

Bitrefill a travaillé avec plusieurs entités de sécurité de premier plan, notamment Zeroshadow, SEAL Org et l’équipe Recoveris, pour cartographier le mouvement des fonds volés sur la blockchain. Ils ont également assisté au nettoyage forensique des serveurs de l’entreprise. 

Bitrefill a depuis resserré les contrôles d’accès internes pour s’assurer qu’une seule compromission ne puisse pas entraîner une violation totale du système. L’entreprise a également amélioré ses procédures d’arrêt pour réagir plus rapidement aux demandes de base de données suspectes.

L’entreprise a également déclaré qu’elle continuait à mener des tests de pénétration approfondis avec des experts externes pour trouver toute vulnérabilité restante. Actuellement, presque tous les services, y compris les paiements, le réapprovisionnement en stock et les fonctionnalités de compte, sont revenus à la normale.