Zakupy Bitcoin zostały wstrzymane po naruszeniu danych u izraelskiego brokera kryptowalut Bits of Gold, a grupa paliwowo-detaliczna Paz tymczasowo zamroziła możliwość kupna Bitcoin w swojej aplikacji Yellow, podczas gdy trwa dochodzenie w sprawie incydentu bezpieczeństwa.

Dlaczego wstrzymano zakupy Bitcoin

Bits of Gold podał, że wykrył nietypowy dostęp do swojego systemu analizy danych i odłączył dotknięty system od źródeł danych w ramach reakcji na to, co spółka określiła jako cyberincydent na dużą skalę, zgodnie z jego aktualizacją dotyczącą incydentu.

W odpowiedzi Paz zamroził możliwość kupna Bitcoin w aplikacji Yellow do czasu zakończenia dochodzenia, poinformował CTech. Paz zaznaczył, że między aplikacjami Yellow i Bits of Gold nie ma bezpośredniego interfejsu.

To połączenie nadaje incydentowi szerszy zasięg detaliczny, niż miałaby awaria obejmująca wyłącznie brokera: Paz jest jednym z największych w Izraelu detalistów paliw i produktów convenience, a jego aplikacja Yellow łączy usługi lojalnościowe i płatnicze z opcją zakupu Bitcoin, wystawiając dostęp do kryptowalut szerszemu gronu konsumentów. Bits of Gold, założony w 2013 roku, należy do najdłużej działających brokerów kryptowalutowych w Izraelu i obsługuje bazę klientów, przez którą skala ujawnienia stała się istotna.

Przerwa ma charakter ostrożnościowego kroku operacyjnego bezpośrednio związanego z reakcją na naruszenie, a nie decyzji wynikającej z warunków rynkowych. Aktywność zakupowa została wstrzymana, aby platformy mogły opanować incydent przed przywróceniem dostępu.

Co naruszenie oznacza dla użytkowników

Dla klientów bezpośrednim skutkiem jest to, że planowane lub oczekujące zakupy Bitcoin przez Yellow nie mogą zostać zrealizowane, dopóki zamrożenie nie zostanie zniesione. Zakłócenie dotyczy dostępu do zakupów, a nie istniejących zasobów.

Bits of Gold podał, że w incydencie nie ujawniono haseł, kodów weryfikacyjnych, kluczy prywatnych, zdjęć dokumentów tożsamości, pełnych danych kart kredytowych, kodów CVV, środków klientów, kont, portfeli ani aktywów cyfrowych. Spółka stwierdziła, że aktywa cyfrowe i środki nie były objęte incydentem.

Jednocześnie Bits of Gold podał, że mogły zostać ujawnione imiona i nazwiska, adresy IP, e-maile, numery telefonów, dane rachunków bankowych, izraelskie numery identyfikacyjne oraz niektóre publiczne adresy portfeli. Ta luka ma znaczenie, ponieważ tego rodzaju identyfikatory osobowe — nazwiska, dane kontaktowe i numery identyfikacyjne — są surowcem do prób phishingu i podszywania się, dlatego obawy o bezpieczeństwo kont i tożsamość utrzymują się, mimo że środki wydają się bezpieczne. Zakres tego ujawnienia pozostaje kluczową kwestią, ponieważ doniesienia wskazują, że naruszenie mogło dotknąć dużą bazę klientów.

Zewnętrzne relacje oszacowały liczbę poszkodowanych klientów na około 200,000, według CoinDesk, choć publiczny komunikat Bits of Gold nie podaje potwierdzonej łącznej liczby dotkniętych użytkowników. Ta liczba pozostaje przypisana zewnętrznie, a nie potwierdzona przez spółkę.

To rozróżnienie ma znaczenie: zakłócenie transakcji jest tymczasowe i odwracalne, podczas gdy potencjalne ujawnienie danych osobowych jest dłużej trwającą kwestią zaufania, która wykracza poza samo zamrożenie zakupów. Zamrożenie nastąpiło także w momencie, gdy Bitcoin handluje w pobliżu poziomów, które ponownie wywołały debatę o wyprzedaży w okolicach 65,000 USD.

Co musi się wydarzyć przed wznowieniem zakupów

Doniesienia powiązały incydent z krytyczną luką w Metabase, oprogramowaniu do analizy danych, konkretnie CVE-2026-72898, choć komunikat dla klientów Bits of Gold nie wymienia Metabase ani identyfikatora CVE. To przypisanie pochodzi z bezpośrednich relacji, a nie z potwierdzenia spółki.

National Vulnerability Database klasyfikuje CVE-2026-72898 na maksymalnym poziomie CNA severity 10.0 CRITICAL, opisując lukę, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu wstrzyknąć dowolny SQL przez punkt końcowy reset-password. Metabase to szeroko wdrożona platforma analityczna open source używana daleko poza branżą kryptowalut, więc luka o maksymalnej powadze ma znaczenie dla każdej organizacji, która działa na niezaktualizowanej instancji, a nie tylko dla platform kryptowalutowych.

Metabase podał, że potwierdził aktywne wykorzystywanie luki, zablokował punkty ataku i opublikował minimalnie bezpieczne wydania — 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 oraz 0.63.5 — w swojej aktualizacji bezpieczeństwa. Zastosowanie poprawek do tych wersji jest krokiem naprawczym, który stanowi podstawę bezpiecznego wznowienia działania.

Bits of Gold poinformował właściwe organy, które CTech zidentyfikował jako Israel’s Capital Market Authority oraz National Cyber Directorate. Bits of Gold był pierwszą firmą na izraelskim rynku, która otrzymała licencję Capital Market Authority na świadczenie usług finansowych z zakresu aktywów cyfrowych, a licencjonowani dostawcy w kraju działają pod nadzorem Capital Market Authority, co umieszcza incydent w ramach ustalonego procesu przeglądu regulacyjnego, a nie wyłącznie wewnętrznego.

Przed wznowieniem zakupów użytkownicy będą oczekiwać jasnych aktualizacji statusu potwierdzających, że dotknięty system jest zabezpieczony, luka została załatana, a dochodzenie z regulatorami zostało zakończone. Nie ustalono publicznego harmonogramu przywrócenia zakupów Bitcoin przez Yellow.

Według relacji CoinDesk, jest to trzeci przypadek ujawnienia wycieku danych w branży kryptowalut w ciągu mniej więcej tygodnia, po incydentach dotyczących dostawców związanych z SafePal i Trezor. To nagromadzenie ponownie zwróciło uwagę na poziom bezpieczeństwa platform kryptowalutowych skierowanych do konsumentów.