Lazarus Group が再び攻撃を仕掛けた！Bitrefill の従業員のノートパソコンが侵害され、ホットウォレットの資金が盗まれた

暗号資産のECプラットフォームであるBitrefillは、3月18日にX（旧Twitter）で、3月1日にサイバー攻撃を受けたことを公表しました。攻撃手法は北朝鮮のハッカー組織Lazarus Groupの既知の特徴と高度に一致しています。ハッカーは従業員のノートパソコンに侵入し、そこから会社のホットウォレットの資金を盗み、18,500件の購入記録へのアクセス権を取得しました。

攻撃経路：従業員のノートPCからホットウォレットへの横展開

Bitrefillの公表によると、今回の攻撃は多層的な侵入経路を持っており、ハッカーはまずマルウェアを用いて従業員の端末に侵入し、その端末を足掛かりとして会社のホットウォレットに横展開しました。この「エンドポイントを入口とし、コア資産を標的とする」手法は、Lazarus Groupおよびその関連組織であるBlueNoroff Groupの既知の攻撃手法と一致しています。

Bitrefillは、BlueNoroff Groupが今回の事件に関与した可能性が高く、あるいは唯一の攻撃者である可能性も示唆しています。データアクセスの観点からは、攻撃者は購入記録データベースに対して限定的なクエリを行っただけであり、主な目的は「盗み出せる資産の探査」、つまり暗号資産やギフトカードの在庫の確認でした。Bitrefillは、攻撃者がデータベース全体を抽出した証拠はなく、攻撃の動機は財務的な窃盗にあったと強調しています。

顧客への影響：限定的な情報漏洩とサービスの全面復旧

攻撃者は18,500件の購入記録にアクセスしましたが、Bitrefillはこれにより「限定的な顧客情報」の漏洩が生じた可能性を示しています。ただし、大規模なデータベースの抽出の兆候は見られません。Bitrefillは外部に対して、「ほぼすべてのサービスは正常に復旧している—支払い、在庫、アカウント、販売量も正常水準に戻っている」と発表しています。

セキュリティ対策：4つのセキュリティ企業が介入し、防御体制を全面的に強化

事件発生後、Bitrefillは以下の対策を実施しました。

• 即時封鎖：攻撃拡大を防ぐため、関連システムを直ちに停止
• 法執行機関への通報：関係当局に連絡済み
• サードパーティのセキュリティ企業との協力：Security Alliance、FearsOff Security、Recoveris.io、zeroShadowの4社と調査を実施
• システムの強化：セキュリティ専門家の提言に基づき、内部アクセス制御の強化や監視体制の改善を行い、検知と対応の時間短縮を図った

Bitrefillは、事件以降、セキュリティ対策が「著しく改善された」と述べています。

Lazarus Groupの背景：BybitからBitrefillへ

Lazarus Groupは、現在暗号資産業界で最も破壊的な脅威組織の一つであり、北朝鮮政府と密接に関係しています。2025年2月、Lazarus Groupは暗号資産史上最大の単一盗難事件を引き起こしたと指摘されており、取引所Bybitから約14億ドル相当の暗号資産を盗み出しました。これは史上最大規模の暗号資産ハッキング事件です。

Bitrefillの今回の事件は、Bybitに続くものであり、Lazarus Groupまたはその関連組織が仕掛けた最新の攻撃とされ、同組織が引き続き暗号企業の従業員端末を侵入の主要な入り口としていることを示しています。

よくある質問

Bitrefillの攻撃の核心的手法は何ですか？

攻撃は3月1日に発生し、ハッカーはマルウェア、ブロックチェーン追跡、IPやメールアドレスの再利用といった手法を用いて従業員のノートパソコンに侵入し、ホットウォレットのアクセス権を奪い資金を盗み出し、18,500件の購入記録に限定的なクエリを行いました。

なぜBitrefillはこの攻撃をLazarus Groupに結びつけるのですか？

Bitrefillは、攻撃に用いられた手法—マルウェアの展開、ブロックチェーン追跡、インフラの再利用—がLazarus Groupの既知の攻撃特徴と高度に一致していると指摘しています。また、Lazarus Groupと密接に関連するBlueNoroff Groupも関与または唯一の攻撃者である可能性を示しています。

Bitrefillのユーザーの個人情報は大規模に漏洩していますか？

Bitrefillは、現時点で攻撃者がデータベース全体を抽出した証拠はなく、限定的なクエリのみが行われたとし、主に財務資産の窃取を目的としていたとしています。ただし、18,500件の購入記録にアクセスされたことで、一部の顧客情報には漏洩リスクが残っており、ユーザーは異常な動きに注意するよう推奨されています。