Bitrefiff attribuisce agli hacker nordcoreani l'exploit del 1° marzo e si impegna a coprire le perdite

Bitrefill ha rilasciato un rapporto completo su una violazione della sicurezza verificatasi il 1° marzo, e ritiene che sia opera del gruppo di hacking nordcoreano chiamato Lazarus Group. 

Il Lazarus Group era anche responsabile del più grande furto singolo nella storia delle criptovalute quando ha colpito Bybit all'inizio dello scorso anno per oltre 1 miliardo di dollari.

L'azienda è stata trasparente su come si è verificato l'incidente, ma non ha rivelato l'importo esatto rubato. Bitrefill afferma che la sua rete è stata accessibile tramite il laptop compromesso di un dipendente, risultando in diversi hot wallet svuotati. 

Bitrefill ha nascosto di essere stato hackerato?  

Bitrefill ha rilasciato un post-mortem completo riguardo a una violazione della sicurezza iniziata il 1° marzo. L'azienda ha ufficialmente attribuito l'attacco al gruppo di hacking nordcoreano noto come Lazarus Group o Bluenoroff a causa delle evidenze esaminate, basate sul malware specifico utilizzato, sul modus operandi degli attaccanti, sul tracciamento on-chain dei fondi rubati e sul riutilizzo di specifici indirizzi IP ed email precedentemente collegati alle operazioni nordcoreane.

L'incidente è iniziato quando il laptop di un dipendente è stato compromesso e utilizzato come punto di ingresso iniziale per gli hacker per ottenere l'accesso a una credenziale legacy. Questa credenziale ha concesso agli attaccanti l'accesso a uno snapshot dei sistemi dell'azienda che conteneva segreti di produzione. 

Con questi segreti in mano, il Lazarus Group è poi riuscito a diffondere il suo accesso attraverso l'infrastruttura di Bitrefill. Alla fine hanno raggiunto parti del database dell'azienda e diversi hot wallet di criptovalute.

Il team di sicurezza di Bitrefill ha notato per primo la violazione attraverso “pattern di acquisto sospetti” che coinvolgevano i loro fornitori. Gli attaccanti stavano sfruttando lo stock di carte regalo dell'azienda e le linee di approvvigionamento. 

Simultaneamente, l'azienda ha realizzato che i fondi venivano svuotati dai loro hot wallet e spostati verso wallet controllati dagli attaccanti. 

In risposta, Bitrefill ha immediatamente disconnesso tutti i sistemi per contenere la minaccia, ma a causa del fatto che la rete di e-commerce globale dell'azienda ha migliaia di prodotti e dozzine di fornitori, il processo di spegnimento e riavvio sicuro dell'infrastruttura ha richiesto oltre due settimane. 

Quanto è stato rubato durante la violazione di Bitrefill?

L’indagine di Bitrefill ha rivelato che gli hacker non erano molto interessati a rubare i dati dei clienti; del resto, non ne sarebbero stati capaci. L’azienda ha sottolineato che il suo modello di business è progettato per memorizzare pochissime informazioni personali. Non richiede documentazione obbligatoria “Know Your Customer” (KYC) per la maggior parte degli utenti, e i dati forniti per verifiche di livello superiore sono gestiti da un fornitore esterno e non sono stati memorizzati sui sistemi che sono stati violati.

Tuttavia, gli aggressori hanno accesso a circa 18.500 record di acquisto. Questi record includevano indirizzi email dei clienti, indirizzi di pagamento in criptovalute e metadati come gli indirizzi IP. 

Circa 1,000 di I clienti di Bitrefill che dovevano fornire i nomi per prodotti specifici hanno visto i propri dati crittografati. Tuttavia, poiché gli hacker potrebbero aver accesso alle chiavi di crittografia, Bitrefil sta trattando tali dati come potenzialmente compromessi e ha già inviato email a coloro che ne sono stati interessati.

Per quanto riguarda le perdite finanziarie, Bitrefill ha annunciato che ne assorbirà l’impatto. Sebbene i portafogli caldi siano stati svuotati, l’azienda ha dichiarato di essere ben capitalizzata e di essere stata redditizia per diversi anni. Tutti i saldi degli utenti rimangono al sicuro e non sono stati interessati. 

Bitrefill ha collaborato con diverse entità di sicurezza di alto profilo, tra cui Zeroshadow, SEAL Org e il Recoveris Team, per mappare i movimenti dei fondi rubati sulla blockchain. Hanno anche assistito nella pulizia forense dei server dell’azienda. 

Da allora, Bitrefill ha rafforzato i controlli di accesso interni per garantire che un singolo compromesso non porti a una violazione completa del sistema. L’azienda ha anche migliorato le procedure di spegnimento per reagire più rapidamente alle richieste sospette del database.

L’azienda ha inoltre dichiarato di continuare a condurre approfonditi test di penetrazione (pentest) con esperti esterni per individuare eventuali vulnerabilità residue. Attualmente, quasi tutti i servizi, inclusi i pagamenti, il rifornimento di azioni e le funzionalità dell’account, sono tornati alla normalità.