Bitrefill遭朝鲜黑客集团攻击，资金外流与数据泄露并行

核心提要：比特币支付平台Bitrefill遭遇疑似朝鲜背景的黑客组织袭击，攻击者通过员工设备入侵系统，转移部分热钱包资金，并访问了约1.85万条客户交易记录。公司已启动应急响应，强化安全机制。

Bitrefill遭朝鲜关联黑客组织渗透，资产外流与数据风险并存

近期，比特币支付服务提供商Bitrefill披露其系统遭受严重网络入侵事件。调查发现，此次攻击行为与朝鲜支持的“拉撒路集团”存在高度技术关联，其使用的恶意工具、链上追踪模式及基础设施复用特征均与历史攻击案例高度一致。

入侵起点：员工终端成突破口

攻击最初源于一名内部员工的笔记本电脑被成功攻陷。攻击者利用窃取的旧认证凭证，进入公司用于运营管理的快照存储环境，为后续横向移动奠定基础。

在获得初始访问权限后，威胁方逐步扩大控制范围，渗透至核心数据库与加密货币钱包系统。异常的资金调拨行为——特别是礼品卡库存的非正常流转——成为触发警报的关键信号。

公司确认，部分热钱包中的数字资产已被转移到外部地址。在识别到异常后，立即实施全系统下线，以遏制进一步损失。

客户信息暴露风险评估与应对措施

尽管攻击重点不在客户数据全面窃取，但分析显示，攻击者对部分数据库进行了有限查询，行为模式更倾向于探测信息可用性而非大规模提取。

约18,500条购买记录被访问，包含用户邮箱、加密货币支付地址及网络接入IP等敏感字段。虽然姓名信息经过加密处理，但由于密钥可能已暴露，仍被视为潜在泄露风险。公司已向约1000名受影响用户发送独立通知。

目前，官方建议用户无需紧急操作，但应提高对涉及加密货币的可疑链接或请求的警惕性。

为防范未来风险，公司已部署更严格的访问验证机制、升级实时监控体系，并扩大渗透测试覆盖范围。此次事件造成的财务损失将由企业自有资金承担。

持续演进的跨国黑客威胁格局

尽管行业整体安全防护能力不断增强，但以拉撒路集团为代表的国家级黑客组织依然构成重大威胁。该组织曾在2025年2月对Bybit发动攻击，盗取约14亿美元，创下加密领域单次失窃金额纪录。

链上分析师ZachXBT指出，在Bybit、DMM Bitcoin以及WazirX等多起重大事件中，被盗资产的洗钱路径清晰且高效，反映出当前洗钱网络已具备强大抗监管能力。

本次Bitrefill事件再次印证了拉撒路集团惯用的“分阶段渗透+资产转移”策略，凸显整个数字金融生态在纵深防御与威胁溯源方面仍面临严峻挑战。