Bitrefil culpa hackers norte-coreanos pela exploração de março e compromete-se a cobrir as perdas

A Bitrefill publicou um relatório abrangente sobre uma violação de segurança que ocorreu em 1º de março, e acredita que seja obra do grupo de hackers norte-coreano chamado Lazarus Group. 

O Grupo Lazarus também foi responsável pelo maior roubo único na história das criptomoedas quando atacou a Bybit no início do ano passado por mais de US$ 1 bilhão.

A empresa foi transparente sobre como o incidente ocorreu, mas não divulgou o valor exato roubado. A Bitrefill afirma que sua rede foi acessada por meio do laptop comprometido de um funcionário, resultando no esvaziamento de várias carteiras quentes. 

A Bitrefill ocultou o fato de ter sido hackeada?  

A Bitrefill publicou um relatório pormenorizado sobre uma violação de segurança que começou em 1º de março. A empresa culpou formalmente o ataque pelo grupo de hackers norte-coreano conhecido como Grupo Lazarus ou Bluenoroff devido às evidências que examinou, com base no malware específico usado, no modus operandi dos atacantes, no rastreamento on-chain dos fundos roubados e na reutilização de endereços IP e e-mail específicos anteriormente vinculados a operações norte-coreanas.

O incidente começou quando o laptop de um funcionário foi comprometido e usado como ponto de entrada inicial para os hackers ganharem acesso a uma credencial legada. Essa credencial concedeu aos atacantes acesso a uma captura de tela dos sistemas da empresa que continha segredos de produção. 

Com esses segredos em mãos, o Grupo Lazarus foi então capaz de espalhar seu acesso pela infraestrutura da Bitrefill. Eles eventualmente alcançaram partes do banco de dados da empresa e várias carteiras quentes de criptomoedas.

A equipe de segurança da Bitrefill notou a violação pela primeira vez por meio de “padrões de compra suspeitos” envolvendo seus fornecedores. Os atacantes estavam explorando o estoque de cartões-presente e as linhas de suprimento da empresa. 

Simultaneamente, a empresa percebeu que os fundos estavam sendo drenados de suas carteiras quentes e transferidos para carteiras controladas pelos atacantes. 

Em resposta, a Bitrefill imediatamente colocou todos os sistemas offline para conter a ameaça, mas, devido ao fato de que a rede de comércio eletrônico global da empresa possui milhares de produtos e dezenas de fornecedores, o processo de desligamento e reinicialização seguros da infraestrutura levou mais de duas semanas. 

Quanto foi roubado durante a violação da Bitrefill?

A investigação da Bitrefill revelou que os hackers não estavam muito interessados em roubar dados de clientes; não que eles teriam conseguido. A empresa enfatizou que seu modelo de negócios é projetado para armazenar muito poucas informações pessoais. Não requer documentação obrigatória de “Conheça seu Cliente” (KYC) para a maioria dos usuários, e os dados fornecidos para verificação de nível superior são gerenciados por um provedor externo e não foram armazenados nos sistemas que foram violados.

No entanto, os atacantes acessaram aproximadamente 18.500 registros de compra. Esses registros incluíam endereços de e-mail dos clientes, endereços de pagamento de criptomoedas e metadados, como endereços IP. 

Cerca de 1,000 dos clientes da Bitrefill que tiveram que fornecer nomes para produtos específicos tiveram seus dados criptografados. No entanto, como os hackers podem ter acessado as chaves de criptografia, a Bitrefill está tratando esses dados como potencialmente comprometidos e já enviou e-mails aos afetados.

Em relação às perdas financeiras, a Bitrefill anunciou que absorverá o impacto. Embora as carteiras quentes tenham sido esvaziadas, a empresa afirmou que continua bem financiada e tem sido lucrativa por vários anos. Todos os saldos dos usuários permanecem seguros e inalterados. 

A Bitrefill trabalhou com várias entidades de segurança de alto perfil, incluindo Zeroshadow, SEAL Org e a Recoveris Team, para mapear o movimento dos fundos roubados na blockchain. Eles também ajudaram na limpeza forense dos servidores da empresa. 

A Bitrefill desde então endureceu os controles de acesso interno para garantir que uma única violação não leve a uma violação total do sistema. A empresa também melhorou seus procedimentos de desligamento para reagir mais rapidamente a solicitações suspeitas do banco de dados.

A empresa também afirmou que está continuando a realizar pentests (testes de penetração) minuciosos com especialistas externos para encontrar quaisquer vulnerabilidades restantes. Atualmente, quase todos os serviços, incluindo pagamentos, reposição de estoque e recursos da conta, retornaram ao normal.