ألقت منصة مدفوعات العملات المشفرة وبطاقات الهدايا Bitrefill باللوم على مجموعة القرصنة المرتبطة بكوريا الشمالية Lazarus في هجوم إلكتروني في 1 مارس 2026، اخترق أجزاء من بنيتها التحتية ومحافظ العملات المشفرة.

حصل المهاجمون على مفاتيح الإنتاج، ونقلوا الأموال من المحافظ الساخنة، وكشفوا 18,500 سجل شراء تحتوي على رسائل بريد إلكتروني وعناوين الدفع وعناوين IP.

تضمنت حوالي 1,000 سجل أسماء مستخدمين مشفرة. تم إخطار المستخدمين المتأثرين. استؤنفت العمليات، حيث أعلنت الشركة عن تغطية الخسائر من رأس المال التشغيلي. يؤكد الحادث على أهمية اليقظة فيما يتعلق بالأمن المشفر والأمن على السلسلة.

شمل أسلوب العمل برامج ضارة وتتبع على السلسلة وإعادة استخدام عناوين IP والبريد الإلكتروني وكان مشابهًا للهجمات السابقة المنسوبة إلى مجموعة Lazarus في كوريا الشمالية، والمعروفة أيضًا باسم Bluenoroff، حسبما قالت الشركة في تقرير مفصل على X.

استهدفت مجموعة Lazarus سابقًا مشاريع العملات المشفرة بما في ذلك Ronin Network وHarmony's Horizon Bridge وWazirX وAtomic Wallet.

كيف تطور الهجوم

بدأ كل شيء بجهاز كمبيوتر محمول مخترق لموظف، والذي كشف بيانات الاعتماد القديمة وسمح للمهاجمين بالوصول إلى البنية التحتية الأوسع لـ Bitrefill، بما في ذلك أجزاء من قاعدة بياناتها ومحافظ العملات المشفرة.

أصبح الاختراق واضحًا بسرعة عندما لاحظت الشركة أنماط شراء غير عادية بين موردين معينين، مما يشير إلى أن المهاجمين يستغلون مخزون بطاقات الهدايا وسلاسل التوريد الخاصة بها. لاحظت الشركة أيضًا أن المهاجمين كانوا يستنزفون بعض المحافظ الساخنة وينقلون الأموال إلى عناوينهم الخاصة، وبعد ذلك تم إيقاف النظام لاحتواء الضرر.

"تدير Bitrefill أعمال تجارة إلكترونية عالمية مع العشرات من الموردين، وآلاف المنتجات، وطرق دفع متعددة عبر العديد من البلدان. إيقاف كل هذه الأشياء بأمان وإعادتها عبر الإنترنت ليس بالأمر البسيط"، قالت الشركة في بيان.

منذ الحادث، تعمل Bitrefill مع باحثي الأمن وفرق الاستجابة للحوادث ومحللي السلسلة وإنفاذ القانون للتحقيق في الاختراق.

تأثير بيانات العملاء

وصل القراصنة إلى مجموعة صغيرة من سجلات الشراء، حوالي 18,500، تحتوي على

قالت Bitrefill إنه لا يوجد دليل على أن بيانات العملاء كانت هدفًا أساسيًا. تشير سجلاتها إلى أن المهاجمين قاموا بتشغيل عدد محدود من الاستعلامات التي تستهدف ممتلكات العملات المشفرة ومخزون بطاقات الهدايا بدلاً من استخراج قاعدة البيانات بأكملها.

تخزن المنصة الحد الأدنى من البيانات الشخصية ولا تتطلب إجراء KYC إلزامي. تم الوصول إلى مجموعة فرعية صغيرة من سجلات الشراء، حوالي 18,500، تحتوي على معلومات مثل عناوين البريد الإلكتروني وعناوين دفع العملات المشفرة والبيانات الوصفية بما في ذلك عناوين IP. احتوى حوالي 1,000 سجل على أسماء مشفرة لمنتجات محددة؛ تعامل الشركة مع هذه البيانات على أنها مخترقة محتملاً وأخطرت العملاء المتأثرين مباشرة عبر البريد الإلكتروني.

في الوقت الحالي، لا تعتقد Bitrefill أن العملاء بحاجة إلى اتخاذ أي إجراء إضافي، على الرغم من أنها تنصح بالحذر فيما يتعلق بالاتصالات غير المتوقعة المتعلقة بـ Bitrefill أو العملات المشفرة.

خطوات لتعزيز الأمن

استجابة للاختراق، قالت Bitrefill إنها عززت بالفعل ممارسات الأمن السيبراني الخاصة بها وتعمل على استخلاص الدروس من الحادث.

أوضحت الشركة عدة تدابير، بما في ذلك إجراء اختبارات اختراق شاملة مع خبراء خارجيين، وتشديد ضوابط الوصول الداخلي، وتحسين التسجيل والمراقبة لاكتشاف التهديدات بشكل أسرع، وتحسين إجراءات الاستجابة للحوادث وبروتوكولات الإيقاف التلقائي.

النظر إلى المستقبل

أقرت Bitrefill بأن هذا كان أول هجوم كبير لها في أكثر من عقد من العمليات ولكنها شددت على أنها لا تزال ممولة جيدًا ومربحة، قادرة على استيعاب الخسائر التشغيلية. معظم الأنظمة، بما في ذلك المدفوعات والأسهم والحسابات، عادت للعمل، مع عودة أحجام المبيعات إلى طبيعتها.

"التعرض لهجوم متطور أمر سيء (كثيرًا)"، قالت الشركة. "لكننا نجونا. سنواصل بذل قصارى جهدنا لمواصلة استحقاق ثقة عملائنا."