Swiss Bitcoin Pay tymczasowo wyłączył swoje serwery po tym, jak podejrzewany nieuprawniony podmiot uzyskał dostęp do wewnętrznych systemów firmy, co mogło narazić na ujawnienie danych kontaktowych, bankowych i informacji o transakcjach klientów.

Operator płatności Bitcoin poinformował o problemie z bezpieczeństwem 14 września. Firma przekazała, że środki użytkowników pozostają bezpieczne, podczas gdy prowadzi dochodzenie w sprawie dostępu i zabezpiecza swoją infrastrukturę. Swiss Bitcoin Pay nie ogłosił, kiedy usługi zostaną wznowione.

Adresy e-mail, adresy Bitcoin i numery IBAN mogły zostać ujawnione

Potencjalnie uzyskane informacje obejmują adresy e-mail klientów, adresy Bitcoin, numery IBAN, historię transakcji i hasła w postaci skrótów. Dochodzenie nie ustaliło, czy uzyskano dostęp do dodatkowych kategorii informacji.

Swiss Bitcoin Pay nie ujawnił, ile kont może być objętych incydentem, kiedy rozpoczął się nieuprawniony dostęp ani czy dane zostały skopiowane z systemów firmy. Nie wskazano również metody uzyskania dostępu ani odpowiedzialnego za nią podmiotu. Techniczna przyczyna pozostaje zatem nieustalona, a dochodzenie jest kontynuowane.

Połączenie adresów e-mail, historii transakcji i identyfikatorów finansowych mogłoby dostarczyć atakującemu szczegółowych informacji przydatnych w ukierunkowanych próbach podszywania się pod inne osoby lub atakach phishingowych. Podobne ryzyka pojawiły się po niedawnym wycieku danych klientów Trezor, w wyniku którego ujawniono dane kontaktowe i wysyłkowe należące do dziesiątek tysięcy nabywców portfeli sprzętowych.

Swiss Bitcoin Pay korzysta z niepowierniczego modelu płatności

Swiss Bitcoin Pay prowadzi usługę płatności dla sprzedawców, która obsługuje transakcje Bitcoin zarówno przez Lightning, jak i onchain. System dla sprzedawców został zaprojektowany tak, aby przekazywać otrzymane Bitcoiny do portfeli kontrolowanych przez klientów, zamiast przechowywać aktywa pod długoterminową kontrolą firmy.

Sprzedawcy mogą przyjmować płatności za pośrednictwem aplikacji mobilnej, panelu internetowego, integracji z platformami e-commerce oraz API. Swiss Bitcoin Pay obsługuje również automatyczną konwersję otrzymanych Bitcoinów na waluty fiat dla klientów korzystających z wypłat bankowych; proces ten wymaga podania informacji bankowych, takich jak numery IBAN.

W komunikacie firma oddzieliła podejrzewany dostęp do systemów od przechowywania środków klientów i stwierdziła, że fundusze pozostają bezpieczne. Nie opublikowała dowodów na nieautoryzowane transfery Bitcoin ani nie wskazała kwoty strat związanych z włamaniem.

Serwery pozostają offline podczas przeglądu bezpieczeństwa

Swiss Bitcoin Pay wyłączył infrastrukturę zapobiegawczo, zamiast kontynuować działalność w czasie ustalania zakresu uzyskanego dostępu. Firma nie opublikowała technicznej przyczyny źródłowej, harmonogramu działań naprawczych ani harmonogramu ponownego uruchamiania poszczególnych usług.

Komunikat pojawił się po innych przypadkach naruszeń bezpieczeństwa danych klientów w sektorze kryptowalut, w tym po niedawnym ujawnieniu danych zamówień SafePal dotyczącym 39 798 klientów. SafePal przypisał tamten odrębny incydent wadzie autoryzacji we wtyczce do śledzenia zamówień. Swiss Bitcoin Pay nie powiązał dotąd podejrzewanego naruszenia z konkretną aplikacją, zależnością ani podatnością.

Swiss Bitcoin Pay pozostaje offline i nie podano daty ponownego uruchomienia. Firma przekazała, że wszelkie kwoty obecnie należne użytkownikom zostaną zwrócone w całości, podczas gdy trwają prace nad zabezpieczeniem naruszonej infrastruktury.

Źródło: Crypto Adventure