Bitcoin(BTC) ödeme platformu Bitrefill’e Lazarus Group siber saldırısı: Hot wallet’lerden fonlar çalındı

Bitcoin(BTC) ödeme platformu Bitrefill, uğradığı siber saldırı sonrası kripto varlıklarının bir kısmının çalındığını doğruladı. Soruşturmada, saldırının arkasında Kuzey Kore bağlantılı ‘Lazarus Group’(Lazarus Grubu) olduğuna işaret eden bulgular tespit edildi. Saldırı ‘yöntemi’ ve teknik ‘izler’in, daha önce Lazarus/BlueNoroff tarafından gerçekleştirilen vakalarla neredeyse bire bir örtüştüğü belirtiliyor.

Bitrefill, 1 Mart’ta gerçekleşen siber saldırıya ilişkin yaptığı incelemede, Lazarus/BlueNoroff yapılarıyla bağlantılı çok sayıda ‘saldırı paterni’ tespit ettiğini açıkladı. Şirket, kullanılan ‘kötü amaçlı yazılım’ türleri, ‘on-chain’ izleme yöntemleri, aynı ‘IP’ ve ‘e-posta’ adreslerinin yeniden kullanımı gibi başlıklarda geçmiş saldırılarla yüksek düzeyde benzerlik bulunduğunu bildirdi.

Şirketin aktardığına göre ihlal, ilk olarak bir çalışan dizüstü bilgisayarının ele geçirilmesiyle başladı. Bu cihaz üzerinden geçmiş ‘kimlik doğrulama bilgileri’ çalındı ve saldırganlar bu verileri kullanarak şirketin operasyonel ‘gizli bilgilerini’ içeren sistem ‘snapshot’larına erişti.

Ardından saldırgan, iç sistemlerdeki yetki seviyesini adım adım yükselterek hem bazı ‘veritabanı’ bileşenlerine hem de ‘kripto cüzdanlara’ ulaştı. Aynı dönemde, hediye kartı (gift card) stokları ve tedarik akışında olağan dışı ‘işlem paternleri’ tespit edilmesiyle saldırı ilk kez fark edildi.

Bitrefill, bazı ‘hot wallet’lerden fonların izinsiz biçimde boşaltılarak saldırgana ait adreslere taşındığını doğruladı. İhlalin tespiti sonrası, ek kaybı önlemek için tüm sistemler acil olarak ‘durduruldu’ ve erişimler sınırlandı.

Şirket, olayın ardından dışarıdan ‘siber güvenlik uzmanları’, ‘blokzincir analiz şirketleri’ ve ilgili ‘soruşturma makamları’ ile birlikte kapsamlı bir inceleme sürecine girdiklerini ifade ediyor.

İncelemelere göre ‘müşteri verileri’ saldırının ana hedefi değildi. Kayıtlar, saldırganın veritabanında yalnızca sınırlı sayıda ‘sorgu’ çalıştırdığını ve bunun daha çok bilgi sızdırma olasılığını test eden bir keşif faaliyeti niteliğinde olduğunu gösteriyor.

Buna rağmen yaklaşık 18.500 adet ‘satın alma kaydı’na erişim sağlandığı anlaşıldı. Bu kayıtlarda ‘e-posta adresleri’, ‘kripto ödeme adresleri’ ve ‘IP bilgileri’ yer alıyor. Bazı müşteri isimleri şifrelenmiş olsa da, ‘anahtar sızıntısı’ ihtimaline karşı bu veriler de ‘potansiyel olarak sızmış’ kabul edildi. Etkilenmiş olduğu değerlendirilen yaklaşık 1.000 kullanıcıya ayrıca bildirim gönderildi.

Bitrefill, şu an için kullanıcıların acil bir adım atmak zorunda olmadığını, ancak kripto varlıklarla bağlantılı ‘şüpheli mesajlar’ ve ‘oltalama girişimleri’ konusunda ekstra dikkatli olunması gerektiğini vurguladı.

Şirket, güvenlik seviyesini artırmak için ‘erişim yetkisi kontrollerinin’ sıkılaştırılması, ‘izleme ve erken uyarı sistemlerinin’ geliştirilmesi, düzenli ve daha kapsamlı ‘penetrasyon testleri’ gibi önlemler aldığını duyurdu. Ayrıca uğranılan ‘maddi zararın’, kullanıcıları etkilemeyecek şekilde şirketin kendi ‘operasyonel fonları’ ile karşılanacağını belirtti.

Kripto para ekosisteminde genel güvenlik standartları yükseliyor olsa da ‘Lazarus Group’, sektör için halen en büyük ‘siber tehditlerden’ biri olarak öne çıkıyor. Grup, 2025’in Şubat ayında Bybit’ten(Bybit) yaklaşık 1,4 milyar dolar tutarında kripto varlık çalarak tarihin en büyük kripto borsa saldırılarından birine imza atmıştı.

On-chain analiz uzmanı ZachXBT(ZachXBT), Bybit(Bybit), DMM Bitcoin ve WazirX(WazirX) gibi büyük olaylarda çalınan fonların ‘aklama süreçlerinin’ görece kolay ilerlediğine dikkat çekiyor. ZachXBT, “para aklama ağlarının fiili olarak mevcut ‘denetim ve yaptırım mekanizmalarını’ geride bıraktığı” yönünde ‘yorum’ yapıyor.

Bitrefill’e yönelik bu son saldırı da, Lazarus’un karakteristik ‘çok aşamalı sızma ve varlık boşaltma’ modelini yansıtıyor. Olay, ‘Bitcoin(BTC)’ ve geniş kripto piyasasını hedef alan organize saldırıların devam ettiğini ve sektörün ‘siber güvenlik altyapısının’ hâlâ ciddi biçimde sınandığını gösteriyor.