Kyberhyökkäys Bitrefilliin
Bitrefill, alusta, joka mahdollistaa käyttäjien vaihtaa kryptovaluuttaa lahjakortteihin ja puhelinpalveluveloituksiin, paljasti tiistaina, että se joutui kyberhyökkäyksen kohteeksi 1. maaliskuuta. Hyökkäys alkoi kompromettoidusta työntekijän kannettavasta tietokoneesta ja laajeni sitten laajempaan infrastruktuuriin, kun hyökkääjät saivat haltuunsa vanhan tunnistetiedon, joka liittyi tuotantotietoja sisältävään snapshot-tiedostoon.
Hyökkäyksen yksityiskohdat
Incidenssiraportissa, joka julkaistiin X:ssä, yritys kertoi, että hyökkääjät siirtyivät alkuperäisestä pääsystä osiin sen tietokannasta ja tiettyihin kryptovaluuttalompakoihin, samalla kun he hyödyntivät lahjakorttivarastoja ja toimittajien ostoprosesseja. Bitrefill havaitsi tietomurron, kun se huomasi epäilyttäviä toimittajien ostopatternia. Kun se oli vahvistettu, kaikki järjestelmät otettiin offline-tilaan osana rajoittamistoimia.
Tietomurron seuraukset
Yritys oli aiemmin ilmoittanut 1. maaliskuuta, että se käsitteli ”teknistä ongelmaa” ja myöhemmin ”turvallisuusongelmaa”, jolloin se sulki kaikki palvelut. Tiistai oli ensimmäinen kerta, kun Bitrefill antoi täydelliset tiedot hyökkäyksestä ja mahdollisista syyllisistä. Yritys kertoi, että sen tutkimus löysi useita indikaattoreita, joita se kuvasi samankaltaisiksi aiempien teollisuuden hyökkäysten kanssa, joita ovat tehneet Pohjois-Korean valtion tukemat hakkeriryhmät, kuten Lazarus ja Bluenoroff.
Näihin indikaattoreihin kuuluivat haittaohjelmapatternit, on-chain-jäljitys ja käytetyn infrastruktuurin uudelleenkäyttö.
Asiakkaiden vaikutukset
Bitrefill kertoi tekevänsä yhteistyötä tapahtumavastaajien, on-chain-analyytikoiden ja lainvalvontaviranomaisten kanssa tutkimuksen jatkuessa. Asiakkaiden vaikutuksista Bitrefill ilmoitti, että lokit eivät osoita todisteita täydestä tietokannan ulosvuodosta, mutta osa tiedoista oli pääsyssä. Yritys kertoi, että noin 18 500 ostopäiväkirjaa oli vaikuttanut, mukaan lukien rajoitetut kentät, kuten sähköpostiosoitteet, kryptomaksuosoitteet ja metatiedot, mukaan lukien IP-osoitteet.
Noin 1 000 ostosta, jotka vaativat asiakastietoja, Bitrefill kertoi, että nämä kentät oli salattu, mutta niitä käsitellään mahdollisesti pääsyssä olevina, koska hyökkääjät saattavat olla saaneet asiaankuuluvat avaimet. Yritys ilmoitti, että kyseisessä alaryhmässä olevia käyttäjiä oli informoitu suoraan sähköpostitse.
Toimenpiteet ja tulevaisuus
Bitrefill kertoi, että se ei vaadi pakollista KYC:tä ja tallentaa vahvistustiedot ulkoiselle palveluntarjoajalle, eikä sisäisiin varmuuskopioihin. Nykyisten havaintojen perusteella yritys kertoi, ettei se usko asiakkaiden tarvitsevan tehdä erityisiä toimia, mutta neuvoo varovaisuutta odottamattomien Bitrefill- tai kryptovaluuttaan liittyvien viestien suhteen.
Yritys kertoi, että suurin osa toiminnoista on nyt palannut normaaliksi, mukaan lukien maksut, varastot ja tilit, ja että tappiot katetaan operatiivisella pääomalla. Bitrefill myös kertoi jatkavansa ulkoisia turvallisuuskatselmuksia ja tunkeutumistestausta, tiukentavansa sisäisiä pääsynvalvontoja sekä päivittävänsä lokitusta, seurantaa ja tapahtumavastausautomaatioita.
Pohjois-Korean hakkeriryhmät
Pohjois-Korean hakkeriryhmiä on viranomaisten mukaan yhdistetty moniin merkittäviin kryptoteollisuuden ryöstöihin, mukaan lukien viime vuoden 1,4 miljardin dollarin Bybit-pörssin hakkerointi ja vuoden 2022 622 miljoonan dollarin hakkerointi Ronin-peliverkossa, joka liittyy kryptopeliin Axie Infinity. Viime vuonna Pohjois-Koreaan liitetyt hakkerit varastivat yli 2 miljardia dollaria kryptovaluuttaa Chainalysisin raportin mukaan.
