Nền tảng thanh toán tiền mã hóa và thẻ quà tặng Bitrefill đã đổ lỗi cho nhóm hacker Lazarus liên kết với Triều Tiên về một cuộc tấn công mạng vào ngày 1 tháng 3 năm 2026, đã xâm phạm một phần cơ sở hạ tầng và ví tiền mã hóa của công ty.

Kẻ tấn công đã có quyền truy cập vào các khóa sản xuất, chuyển tiền từ ví nóng và làm lộ 18,500 hồ sơ mua hàng chứa email, địa chỉ thanh toán và địa chỉ IP.

Khoảng 1,000 hồ sơ bao gồm tên người dùng được mã hóa. Người dùng bị ảnh hưởng đã được thông báo. Hoạt động đã được khôi phục, với công ty thông báo sẽ bù đắp các khoản thiệt hại từ vốn hoạt động. Sự cố này nhấn mạnh tầm quan trọng của sự cảnh giác liên quan đến bảo mật tiền mã hóa và on-chain.

Phương thức hoạt động bao gồm phần mềm độc hại, theo dõi on-chain và sử dụng lại địa chỉ IP và email, tương tự như các cuộc tấn công trước đây được quy cho Lazarus Group của Triều Tiên, còn được gọi là Bluenoroff, công ty cho biết trong một báo cáo chi tiết trên X.

Lazarus Group trước đây đã nhắm vào các dự án tiền mã hóa bao gồm Ronin Network, Harmony's Horizon Bridge, WazirX và Atomic Wallet.

Cuộc tấn công diễn ra như thế nào

Tất cả bắt đầu từ một máy tính xách tay của nhân viên bị xâm nhập, đã tiết lộ thông tin đăng nhập cũ và cho phép kẻ tấn công truy cập vào cơ sở hạ tầng rộng lớn hơn của Bitrefill, bao gồm các phần của cơ sở dữ liệu và ví tiền mã hóa.

Vụ vi phạm nhanh chóng trở nên rõ ràng khi công ty nhận thấy các mẫu mua hàng bất thường ở một số nhà cung cấp nhất định, báo hiệu rằng kẻ tấn công đang khai thác hàng tồn kho thẻ quà tặng và chuỗi cung ứng của công ty. Công ty cũng lưu ý rằng kẻ tấn công đang rút cạn một số ví nóng và chuyển tiền đến địa chỉ của riêng chúng, sau đó, hệ thống đã được đưa ngoại tuyến để ngăn chặn thiệt hại.

"Bitrefill vận hành một doanh nghiệp thương mại điện tử toàn cầu với hàng chục nhà cung cấp, hàng nghìn sản phẩm và nhiều phương thức thanh toán trên nhiều quốc gia. Việc tắt tất cả những thứ này một cách an toàn và đưa chúng trở lại trực tuyến không phải là điều đơn giản," công ty cho biết trong một tuyên bố.

Kể từ sự cố, Bitrefill đã làm việc với các nhà nghiên cứu bảo mật, nhóm ứng phó sự cố, nhà phân tích on-chain và cơ quan thực thi pháp luật để điều tra vụ vi phạm.

Tác động đến dữ liệu khách hàng

Hacker đã truy cập vào một tập hợp nhỏ hồ sơ mua hàng, khoảng 18,500, chứa

Bitrefill cho biết không có bằng chứng nào cho thấy dữ liệu khách hàng là mục tiêu chính. Nhật ký của công ty cho thấy kẻ tấn công đã chạy một số lượng hạn chế các truy vấn nhắm vào việc nắm giữ tiền mã hóa và hàng tồn kho thẻ quà tặng thay vì trích xuất toàn bộ cơ sở dữ liệu.

Nền tảng lưu trữ dữ liệu cá nhân tối thiểu và không yêu cầu KYC bắt buộc. Một tập con nhỏ của hồ sơ mua hàng, khoảng 18,500, đã được truy cập, chứa thông tin như địa chỉ email, địa chỉ thanh toán tiền mã hóa và siêu dữ liệu bao gồm địa chỉ IP. Khoảng 1,000 hồ sơ chứa tên được mã hóa cho các sản phẩm cụ thể; công ty đang xem dữ liệu này là có khả năng bị xâm phạm và đã thông báo trực tiếp cho khách hàng bị ảnh hưởng qua email.

Hiện tại, Bitrefill không tin rằng khách hàng cần thực hiện bất kỳ hành động bổ sung nào, mặc dù công ty khuyên nên thận trọng với các thông tin liên lạc không mong đợi liên quan đến Bitrefill hoặc tiền mã hóa.

Các bước để tăng cường bảo mật

Để đáp ứng với vụ vi phạm, Bitrefill cho biết họ đã tăng cường các biện pháp an ninh mạng của mình và đang làm việc để rút ra bài học từ sự cố.

Công ty đã phác thảo một số biện pháp, bao gồm tiến hành các bài kiểm tra thâm nhập toàn diện với các chuyên gia bên ngoài, thắt chặt kiểm soát truy cập nội bộ, tăng cường ghi nhật ký và giám sát để phát hiện mối đe dọa nhanh hơn, và tinh chỉnh các quy trình ứng phó sự cố và giao thức tắt tự động.

Nhìn về phía trước

Bitrefill thừa nhận rằng đây là cuộc tấn công lớn đầu tiên trong hơn một thập kỷ hoạt động nhưng nhấn mạnh rằng công ty vẫn được tài trợ tốt và có lợi nhuận, có khả năng hấp thụ các khoản lỗ hoạt động. Hầu hết các hệ thống, bao gồm thanh toán, tồn kho và tài khoản, đã trở lại trực tuyến, với khối lượng bán hàng trở lại bình thường.

"Bị tấn công bởi một cuộc tấn công tinh vi thật tệ (rất nhiều)," công ty cho biết. "Nhưng chúng tôi đã sống sót. Chúng tôi sẽ tiếp tục cố gắng hết sức để tiếp tục xứng đáng với sự tin tưởng của khách hàng."