又是北朝鲜黑客？加密货币电商Bitrefill交易数据外泄，疑与拉撒路有关

Bitrefill 遭拉撒路集团精准渗透，热钱包遭清空、1.85 万笔记录受影响，朝鲜黑客威胁再次浮出水面。

从员工笔电到生产秘密：拉撒路集团的精准渗透

加密货币电商平台 Bitrefill 于昨（3/17）日发布正式调查报告，揭露该公司在 3 月 1 日遭遇高度专业的网络攻击。根据调查发现，这场攻击与朝鲜支持的黑客组织“拉撒路集团”（Lazarus Group）及其分支 Bluenoroff 具有高度相似性。

Bitrefill 在报告中指出，黑客展现的攻击手法、恶意软件特征、链上资金流向以及重复使用的 IP 地址与电子邮件，皆指向这个活跃于加密产业的朝鲜组织。此次渗透的起点源于一名员工的个人笔记本电脑遭到入侵，黑客从中窃取了与生产系统相关的旧有凭证。

图源：X/@bitrefill 加密货币电商平台 Bitrefill 针对 3/1 遭遇的网络攻击事件，发布调查报告

这组凭证虽然已是旧资料，却成为黑客进入 Bitrefill 核心系统的关键。通过存取生产信息的系统快照，攻击者得以获取更高的权限，并在公司基础设施中横向移动。随后，黑客锁定了部分内部数据库与特定加密货币热钱包。这种从单点设备突破，进而获取生产秘密的模式，是拉撒路集团典型的作战策略，反映出企业在管理旧有凭证与端点安全上的严峻挑战。Bitrefill 强调，虽然目前已封堵漏洞并加强防御，但黑客的专业程度显示这是一场筹备已久的针对性行动。

供应链异常揭露入侵，热钱包与礼品卡库存遭洗劫

这场攻击最早是通过业务端的异常行为被察觉。**Bitrefill 的安全团队发现，平台与供应商之间的交易出现了不寻常的购买模式。深入调查后确认，黑客正在利用该公司的礼品卡库存与供应链管道进行非法套现。**与此同时，公司内部数个热钱包的资金也开始被转移至受黑客控制的外部地址。面对这场即时发生的资安危机，Bitrefill 迅速将全球所有系统全数离线，以防止损害进一步扩大。由于该平台涉及数千种产品、多种支付方式与跨国供应链，整个安全清理与系统重启的过程耗时超过两周。

在资金损失方面，虽然具体的总额尚未完全公开，但 Bitrefill 坦承热钱包资金确实遭到清空。黑客在系统内停留期间执行了多次针对性查询，主要目的是确认可供窃取的资产，包括加密货币存量与礼品卡库存。

Bitrefill 指出，黑客的操作极具效率，显示其对电商平台的运作机制有着深入了解。公司随后与多个专业团队合作，包括 zeroShadow、SEAL911（SEAL Org）及 RecoverisTeam，共同追踪资金在区块链上的移动路径，并对受影响的服务器进行数字鉴定与清理。

1.85 万笔购买记录受影响，个人资料外泄风险评估

除了资金损失，客户资料的安全也受到各界关注。Bitrefill 的调查显示，虽然黑客并未完整汇出整个数据库，但仍有约 18,500 笔购买记录遭到存取。这些外泄的信息包含客户的电子邮件地址、加密货币支付地址、IP 地址等元数据。其中约 1,000 笔记录包含了客户姓名，虽然这些姓名在数据库中是以加密形式存储，但由于黑客可能一并取得了加密钥，Bitrefill 选择采取最保守的预警态度，将这部分资料视为可能遭到存取，并已通过邮件直接通知受影响的用户。

Bitrefill 强调，公司的商业模式尽可能减少收集客户身份信息（PII），这项设计在事故发生时限制了损害。

平台不要求大多数用户进行强制性身份验证（KYC），而在需要验证的情况下，所有的文件与信息皆交由外部第三方供应商管理，并不存放在 Bitrefill 的内部服务器或备份系统中。根据目前的日志纪录分析，黑客的首要目标是资金而非数据库，相关查询行为多与资产盘点有关。尽管如此，受影响的用户仍应提高警觉，防范未来可能出现的钓鱼邮件或与加密货币相关的诈骗通讯。

营运全面恢复正常，Bitrefill 承诺由公司吸收损失

目前 Bitrefill 的全球营运已恢复正常，包括支付功能、库存补给与账户存取皆已稳定。公司表示其财务状况健全且长期获利，因此将使用营运资金全额吸收此次攻击造成的损失。所有的用户账户余额皆保持安全且未受影响，公司的资本足以应对这场财务挑战。为了强化防御，Bitrefill 已实施更严格的内部存取控制与自动化监控系统，并升级了紧急应变流程与关闭程序，确保未来在侦测到异常活动时能更快速地反应，避免单一设备陷入导致全面崩溃。

这起事件再次凸显了朝鲜黑客对加密产业的巨大威胁。根据 Chainalysis 的数据，朝鲜关联组织在 2025 年共窃取了超过 20.2 亿美元的加密货币，占该年度非法资金总额的 59%。

图源：Chainalysis 朝鲜关联组织在 2025 年共窃取了超过 20.2 亿美元的加密货币

其中包括 Lazarus 集团在 2025 年初对 Bybit 发动的高达 15 亿的历史性攻击，以及对 Upbit（3,200 万）与 CoinDCX（4,400 万）的入侵。随着朝鲜持续利用被盗资金资助其武器计划，加密产业面临的国家级资安挑战日益严峻。Bitrefill 表示将持续进行外部安全审计与渗透测试，力求在对抗专业黑客组织的博弈中保持韧性。

延伸阅读
美国制裁朝鲜IT诈骗网！非法所得高达8亿美元，全流入大规模武器计划
2025成加密犯罪最黑暗一年！黑客偷走65亿美元，案件多由朝鲜主导