Bitrefiff объясняет взлом в марте хакерами из Северной Кореи и обязуется покрыть убытки

Bitrefill выпустил всеобъемлющий отчет о нарушении безопасности, произошедшем 1 марта, и считает, что это работа хакерской группы из Северной Кореи, называемой Lazarus Group. 

Группа Lazarus также несла ответственность за крупнейшее в истории крипто ограбление , когда она атаковала Bybit в начале прошлого года на сумму более 1 млрд долларов.

Компания была прозрачна в отношении того, как произошел инцидент, но не раскрыла точную сумму украденного. Bitrefill утверждает, что ее сеть была взломана через скомпрометированный ноутбук сотрудника, в результате чего были опустошены несколько горячих кошельков. 

Скрыла ли Bitrefill факт взлома?  

Bitrefill выпустил всеобъемлющий постмортем относительно нарушения безопасности, которое началось 1 марта. Компания официально возложила вину на хакерскую группу из Северной Кореи, известную как Lazarus Group или Bluenoroff, из-за доказательств, которые она изучила, основываясь на конкретном использованном вредоносном ПО, методе работы злоумышленников, ончейн-отслеживании украденных средств и повторном использовании конкретных IP-адресов и адресов электронной почты, ранее связанных с операциями из Северной Кореи.

Инцидент начался, когда ноутбук сотрудника был скомпрометирован и использован как начальная точка входа для хакеров, чтобы получить доступ к устаревшим учетным данным. Эти учетные данные предоставили злоумышленникам доступ к снимку систем компании, содержащему производственные секреты. 

Имея эти секреты в руках, Lazarus Group злоумышленники затем смогли распространить свой доступ по инфраструктуре Bitrefill. В конечном итоге они достигли частей базы данных компании и нескольких криптовалютных горячих кошельков.

Команда безопасности Bitrefill первой заметила нарушение через «подозрительные паттерны покупок», связанные с их поставщиками. Злоумышленники эксплуатировали запасы подарочных карт и цепочки поставок компании. 

Одновременно компания поняла, что средства опустошаются с их горячих кошельков и переводятся на кошельки, контролируемые злоумышленниками. 

В ответ Bitrefill немедленно отключила все системы, чтобы сдержать угрозу, но из-за того, что глобальная сеть электронной коммерции компании имеет тысячи продуктов и десятки поставщиков, процесс безопасного отключения и перезагрузки инфраструктуры занял более двух недель. 

Сколько было украдено во время взлома Bitrefill?

Расследование Bitrefill показало, что хакеры не очень интересовались кражей данных клиентов; не то чтобы они могли это сделать. Компания подчеркнула, что ее бизнес-модель разработана так, чтобы хранить очень мало личной информации. Она не требует обязательной документации «Знай своего клиента» (KYC) для большинства пользователей, а данные, предоставленные для верификации более высокого уровня, управляются внешним провайдером и не хранились в системах, которые были скомпрометированы.

Однако злоумышленники получили доступ примерно к 18 500 записям о покупках. Эти записи включали адреса электронной почты клиентов, адреса для оплаты криптовалютой и метаданные, такие как IP-адреса. 

Около 1,000 из клиентов Bitrefill , которым пришлось указать имена для определенных продуктов, столкнулись с шифрованием своих данных. Однако, поскольку хакеры могли получить доступ к ключам шифрования, Bitrefill рассматривает эти данные как потенциально скомпрометированные и уже уведомил об этом затронутых пользователей по электронной почте.

Что касается финансовых потерь, Bitrefill объявил, что возьмет на себя все последствия. Хотя горячие кошельки были опустошены, компания заявила, что остается финансово устойчивой и является прибыльной на протяжении нескольких лет. Все балансы пользователей остаются в безопасности и не пострадали. 

Bitrefill сотрудничал с несколькими известными организациями в сфере безопасности, включая Zeroshadow, SEAL Org и команду Recoveris, чтобы отследить движение украденных средств в блокчейне. Они также помогли в проведении судебно-медицинской очистки серверов компании. 

С тех пор Bitrefill ужесточил внутренний контроль доступа, чтобы одна компрометация не могла привести к полному взлому системы. Компания также улучшила процедуры отключения для более быстрой реакции на подозрительные запросы к базе данных.

Компания также заявила, что продолжает проводить тщательные пентесты (тестирование на проникновение) с внешними экспертами для выявления оставшихся уязвимостей. В настоящее время почти все сервисы, включая платежи, пополнение запасов и функции аккаунта, вернулись к нормальному режиму работы.