شركة التجارة الإلكترونية للعملات المشفرة Bitrefill تكشف عن هجوم إلكتروني وتسمّي مجموعة Lazarus الكورية الشمالية كمشتبه محتمل

قالت شركة Bitrefill المتخصصة في التجارة الإلكترونية والبطاقات الرقمية عبر العملات المشفرة إنها كانت ضحية لهجوم إلكتروني يُعتقد أنه نُفذ من قبل مجموعة Lazarus Group، وهي مجموعة قرصنة ترعاها الدولة من كوريا الشمالية، في وقت سابق من هذا الشهر.

وأوضحت Bitrefill يوم الثلاثاء: "استناداً إلى المؤشرات التي لوحظت أثناء التحقيق - بما في ذلك أسلوب العمل، البرمجيات الخبيثة المستخدمة، تتبع العمليات على السلسلة وعناوين البريد الإلكتروني وعناوين IP المُعاد استخدامها (!) - وجدنا العديد من أوجه التشابه بين هذا الهجوم والهجمات السابقة التي نفذتها مجموعة DPRK Lazarus / Bluenoroff ضد شركات أخرى في صناعة العملات المشفرة"، في إشارة إلى مجموعة الاختراق الفرعية المتخصصة Bluenoroff.

وبحسب Bitrefill، تمكن القراصنة من سحب بعض الأموال من المحافظ الساخنة الخاصة بالشركة وإجراء عمليات شراء مشبوهة لدى الجهات المزودة لها. ولم يتبين بعد حجم الخسائر الناتجة عن الهجوم الذي يُزعم أيضاً أنه استهدف "بنية الشركة التحتية الأوسع، بما في ذلك أجزاء من قاعدة البيانات وبعض محافظ العملات المشفرة."

وتمكن الهجوم، الذي بدأ حسبما يُزعم في الأول من مارس، من الوصول إلى 18,500 سجل مشتريات، ما قد يؤدي إلى كشف "معلومات محدودة للعملاء" مثل عناوين البريد الإلكتروني، وعناوين الدفع بالعملات المشفرة، وبيانات التعريف مثل عناوين IP.

حوالي 1,000 من هذه السجلات التي تم الوصول إليها معرضة بدرجة أكبر لاحتمال كشف أسماء عملاء مشفرة. وقالت الشركة إنها تواصلت مع هؤلاء الأشخاص.

تعد جمهورية كوريا الشعبية الديمقراطية (DPRK) أكبر وأخطر تهديد لأمن العملات المشفرة اليوم. ووفقاً لتقديرات Chainalysis، فقد سرقت مجموعات وأفراد مرتبطين بـDPRK مبلغاً قياسياً قدره 2.02 مليار دولار عبر سرقات العملات المشفرة في عام 2025 — بما في ذلك أكبر عملية اختراق حتى اليوم بقيمة 1.5 مليار دولار لـBybit exchange التي نفذتها Lazarus — من أصل 3.4 مليار دولار من إجمالي الأموال المسروقة بالعملات المشفرة.

وأشارت Bitrefill إلى أن الهجوم بدأ بجهاز كمبيوتر محمول لموظف تم اختراقه، وهو مسار هجوم استخدم في هجمات أخرى أيضاً. وقالت Chainalysis إن مجموعة Lazarus، على سبيل المثال، غالباً ما تحاول زرع موظفين تقنيين مزيفين داخل خدمات العملات المشفرة لكسب صلاحية دخول مميزة للمعلومات أو الأموال.

غالباً ما تثير حوادث الاختراق في العملات المشفرة تساؤلات بشأن طريقة تخزين الشركات لمعلومات التعريف الشخصية (PII). ففي العام الماضي، كشفت Coinbase أن مجرمين إلكترونيين قدموا رشاوى لممثلي خدمة العملاء في مكاتبها الخارجية للحصول على بيانات المستخدمين وسجلات إدارة الحسابات، في هجوم قد يتسبب بخسائر تصل إلى مئات الملايين من الدولارات.

أشارت Bitrefill إلى أنها لا تفرض التحقق الإجباري من الهوية (KYC) بالنسبة لمعظم المشتريات، وفي الحالات التي يطلب فيها التحقق، "يتم الاحتفاظ بهذه البيانات حصراً لدى موفر KYC الخارجي، ولا يوجد أي نسخ احتياطية في نظامنا."

وقالت Bitrefill: "استناداً إلى تحقيقنا وسجلاتنا، لا يوجد ما يدعو للاعتقاد أن بيانات العملاء كانت الهدف الرئيسي لهذا الخرق. لا توجد أدلة على أن المهاجمين استولوا على قاعدة البيانات الكاملة، بل إنهم قاموا فقط بتنفيذ عدد محدود من الاستفسارات بما يتماشى مع محاولة الفحص لمعرفة مالذي يمكن سرقته، بما في ذلك العملات المشفرة ومخزون بطاقات الهدايا لدى Bitrefill."

وأوضحت الشركة أنها "ستتحمل" أي خسائر من رأس مالها التشغيلي. وقد تعاونت مع شركات الأمن السيبراني مثل zeroShadow، وSEAL911، وRecoverisTeam، وغيرها خلال مرحلة الاستجابة للهجوم.

وأضافت Bitrefill: "كل شيء تقريباً عاد إلى طبيعته: المدفوعات، والمخزون، والحسابات"، مشيرة إلى أنها أوقفت أنظمتها مؤقتاً كجزء من عملية الاحتواء الأولية. "كما عادت أحجام المبيعات إلى طبيعتها، ونحن ممتنون إلى الأبد لعملائنا على ثقتكم المستمرة بنا."