Krypto-Zahlungsplattform Bitrefill bringt Hack mit Lazarus und Bluenoroff in Verbindung

Bitrefill gibt bekannt, dass es am 1. März Ziel eines gezielten Cyberangriffs wurde, bei dem Angreifer Zugriff auf einen Teil der Infrastruktur, bestimmte Hot Wallets und Tausende Bestelldaten erhielten. Laut der Krypto-Zahlungsplattform weist der Angriff starke Ähnlichkeiten mit früheren Operationen von Lazarus und Bluenoroff auf, Gruppen, die mit Nordkorea in Verbindung gebracht werden. Aus der Untersuchung geht hervor, dass etwa 18.500 Kaufdatensätze eingesehen wurden. Dabei handelt es sich unter anderem um E-Mail-Adressen, Krypto-Adressen und Metadaten wie IP-Adressen. Bei einem kleineren Teil der Bestellungen könnten zudem verschlüsselte Namensdaten eingesehen worden sein.

Angriff beginnt bei Laptop eines Mitarbeiters

Laut Bitrefill begann der Angriff mit einem kompromittierten Laptop eines Mitarbeiters. Über dieses Gerät gelang es den Angreifern, einen alten Login-Code zu erbeuten. Mit diesen Daten erhielten sie Zugriff auf einen Snapshot mit Produktionsgeheimnissen, woraufhin sie ihre Rechte innerhalb der Unternehmensumgebung weiter ausweiteten. So gelangten sie schließlich zu Teilen der Datenbank und zu bestimmten Kryptowährungs-Wallets, schreibt Bitrefill in einem Vorfallbericht auf X.

Das Unternehmen bemerkte den Einbruch, nachdem bei einigen Lieferanten verdächtige Kaufmuster auftraten. Gleichzeitig stellte Bitrefill fest, dass Giftcard-Bestände und Lieferkanäle missbraucht wurden, während auch Hot Wallets geleert und Gelder an Adressen der Angreifer transferiert wurden. Daraufhin nahm die Plattform vorübergehend alle Systeme offline, um den Schaden zu begrenzen.

Etwa 18.500 Bestelldaten eingesehen

Nach Angaben von Bitrefill waren Kundendaten wahrscheinlich nicht das Hauptziel des Angriffs. Das Unternehmen erklärt, keine Beweise dafür zu haben, dass die vollständige Datenbank entwendet wurde. Logs zeigen jedoch, dass die Angreifer eine begrenzte Anzahl von Suchanfragen ausführten, um festzustellen, welche Daten und welche Vermögenswerte verfügbar waren. Dabei wurden etwa 18.500 Kaufdatensätze geöffnet.

Diese Datensätze enthalten begrenzte Kundendaten wie E-Mail-Adressen, Krypto-Zahlungsadressen und zusätzliche Metadaten, darunter IP-Adressen. Bei etwa 1.000 Käufen müssen Kunden für bestimmte Produkte auch einen Namen angeben. Diese Informationen werden verschlüsselt gespeichert, doch da die Angreifer möglicherweise auch Zugriff auf Verschlüsselungsschlüssel erhalten haben, behandelt Bitrefill diese Daten als potenziell eingesehen. Betroffene Kunden in dieser Kategorie haben laut dem Unternehmen bereits eine E-Mail erhalten.

Bitrefill erklärt, Verluste selbst zu tragen

Bitrefill teilt mit, dass Kunden derzeit keine direkten Maßnahmen ergreifen müssen, empfiehlt der Plattform zufolge jedoch, bei unerwarteten Nachrichten über Bitrefill oder Krypto besonders wachsam zu sein. Darüber hinaus arbeitet das Unternehmen mit Sicherheitsforschern, Incident-Response-Spezialisten, On-Chain-Analysten und Strafverfolgungsbehörden zusammen, um den Angriff vollständig aufzuklären.

Darüber hinaus verschärft Bitrefill die Sicherheit weiter durch zusätzliche Kontrollen, strengere Zugriffsrechte, bessere Überwachung und umfangreichere Tests von Notfallverfahren. Das Unternehmen erklärt, finanziell stark genug zu sein, um den Schaden selbst zu tragen. Laut Bitrefill laufen Zahlungen, Accounts und Bestände inzwischen weitgehend wieder normal, und auch das Verkaufsvolumen liegt erneut auf dem üblichen Niveau.

Bitrefill bringt den Angriff auf Grundlage der Vorgehensweise, der verwendeten Malware, des On-Chain-Trackings sowie wiederverwendeter IP-Adressen und E-Mail-Adressen mit Mustern in Verbindung, die zuvor bei Lazarus und Bluenoroff auftauchten. Solche Vorfälle zeigen erneut, warum Schutz vor Krypto-Betrug und Sicherheitsrisiken weiterhin wichtig bleibt.

Auf X ansehen