La plataforma de pagos de criptomonedas y tarjetas de regalo Bitrefill ha culpado al grupo de hackers Lazarus vinculado a Corea del Norte por un ciberataque el 1 de marzo de 2026, que comprometió partes de su infraestructura y billeteras de criptomonedas.

Los atacantes obtuvieron acceso a claves de producción, transfirieron fondos desde hot wallets y expusieron 18.500 registros de compra que contenían correos electrónicos, direcciones de pago y direcciones IP.

Aproximadamente 1.000 registros incluían nombres de usuario encriptados. Los usuarios afectados fueron notificados. Las operaciones se han reanudado, y la empresa anunció que cubrirá las pérdidas con capital operativo. El incidente subraya la importancia de la vigilancia respecto a la seguridad cripto y en cadena.

El modus operandi incluyó malware, rastreo en cadena y direcciones IP y de correo electrónico reutilizadas, y fue similar a ataques anteriores atribuidos al Grupo Lazarus de Corea del Norte, también conocido como Bluenoroff, según informó la empresa en un informe detallado en X.

El Grupo Lazarus ha atacado previamente proyectos cripto incluyendo Ronin Network, Harmony's Horizon Bridge, WazirX y Atomic Wallet.

Cómo se desarrolló el ataque

Todo comenzó con un portátil de empleado comprometido, que expuso credenciales antiguas y permitió a los atacantes acceder a la infraestructura más amplia de Bitrefill, incluyendo partes de su base de datos y billeteras de criptomonedas.

La brecha se hizo evidente rápidamente cuando la empresa notó patrones de compra inusuales entre ciertos proveedores, señalando que los atacantes estaban explotando su inventario de tarjetas de regalo y cadenas de suministro. La empresa también observó que los atacantes estaban vaciando algunas hot wallets y moviendo fondos a sus propias direcciones, tras lo cual el sistema fue desconectado para contener el daño.

"Bitrefill opera un negocio de comercio electrónico global con docenas de proveedores, miles de productos y múltiples métodos de pago en muchos países. Apagar y volver a encender todas estas cosas de forma segura no es trivial", dijo la empresa en un comunicado.

Desde el incidente, Bitrefill ha estado trabajando con investigadores de seguridad, equipos de respuesta a incidentes, analistas en cadena y fuerzas del orden para investigar la brecha.

Impacto en los datos de clientes

Los hackers accedieron a un pequeño conjunto de registros de compra, aproximadamente 18.500, que contenían

Bitrefill afirmó que no hay evidencia de que los datos de clientes fueran un objetivo principal. Sus registros indican que los atacantes ejecutaron un número limitado de consultas dirigidas a tenencias de criptomonedas e inventario de tarjetas de regalo en lugar de extraer toda la base de datos.

La plataforma almacena datos personales mínimos y no requiere KYC obligatorio. Se accedió a un pequeño subconjunto de registros de compra, aproximadamente 18.500, que contenían información como direcciones de correo electrónico, direcciones de pago cripto y metadatos incluyendo direcciones IP. Alrededor de 1.000 registros contenían nombres encriptados para productos específicos; la empresa está tratando estos datos como potencialmente comprometidos y ha notificado a los clientes afectados directamente por correo electrónico.

En la actualidad, Bitrefill no cree que los clientes necesiten tomar ninguna acción adicional, aunque aconseja precaución respecto a comunicaciones inesperadas relacionadas con Bitrefill o criptomonedas.

Pasos para fortalecer la seguridad

En respuesta a la brecha, Bitrefill afirmó que ya ha fortalecido sus prácticas de ciberseguridad y está trabajando para extraer lecciones del incidente.

La empresa describió varias medidas, incluyendo realizar pruebas de penetración exhaustivas con expertos externos, reforzar los controles de acceso internos, mejorar el registro y monitoreo para una detección de amenazas más rápida, y perfeccionar los procedimientos de respuesta a incidentes y protocolos de cierre automatizados.

Mirando hacia adelante

Bitrefill reconoció que este fue su primer ataque importante en más de una década de operación, pero enfatizó que se mantiene bien financiada y rentable, capaz de absorber pérdidas operativas. La mayoría de los sistemas, incluyendo pagos, stock y cuentas, están nuevamente en línea, con volúmenes de ventas volviendo a la normalidad.

"Ser golpeados por un ataque sofisticado apesta (mucho)", dijo la empresa. "Pero sobrevivimos. Continuaremos haciendo nuestro mejor esfuerzo para seguir mereciendo la confianza de nuestros clientes".