Chainalysis meldet: Hacker erlangten Passwort-Hashes und aktive Tokens aller Plattformnutzer
Wichtige Erkenntnisse
- •Hacker erlangten Zugriff auf die Namen, Benutzernamen, Passwort-Hashes und aktiven Session-Tokens aller Nutzer der Chainalysis-Plattform.
- •Die Bekanntgabe widerspricht der Sicherheitsmitteilung des Unternehmens vom 30. Oktober, in der es keine Hinweise auf kompromittierte Zugangsdaten, Session-Tokens oder Klartext-Passwörter gab.
- •Chainalysis nahm Anfang November nach der Entdeckung ungewöhnlicher Aktivitäten Reactor, Data Solutions, die KYT-Transaktionsüberwachung, Address-Screening-Produkte und die Login-Seite offline.
- •Das Unternehmen erklärt, einige Kundenpasswörter seien durch einen On-Path-Angriff offengelegt worden, bei dem ein Angreifer den Datenverkehr zwischen Nutzern und dem Dienst abfing.
- •Vor der Wiederinbetriebnahme müssen Kunden vertrauenswürdige IP-Adressen zu einer Allowlist hinzufügen, Passwörter zurücksetzen und API-Schlüssel rotieren; Chainalysis erklärt, der Vorfall habe keine Verbindung zum Binance-Diebstahl von rund 6,3 Milliarden US-Dollar.
Chainalysis hat bekannt gegeben, dass Hacker auf die Namen, Benutzernamen, Passwort-Hashes und aktiven Tokens aller Nutzer seiner Plattform zugegriffen haben. Passwort-Hashes sind einseitig verschlüsselte Versionen von Passwörtern und nicht die Passwörter selbst, während aktive Tokens gültige Session-Zugangsdaten sind, die den Zugriff auf ein Konto ohne Eingabe eines Passworts ermöglichen können. Das Blockchain-Analyseunternehmen hatte in einer offiziellen Mitteilung zum Sicherheitsvorfall vom 30. Oktober erklärt, es gebe keine Hinweise darauf, dass Zugangsdaten betroffen waren.
Das Unternehmen entdeckte die Offenlegung am Montag und nahm seine Produkte Reactor und Data Solutions während der Untersuchung vom Netz. Es erklärte weiterhin, es gebe keine Hinweise darauf, dass auf Ermittlungsdaten zugegriffen wurde oder dass Zuordnungsdaten manipuliert wurden.
Aktive Tokens flossen aus, nachdem eine frühere Mitteilung Zugangsdaten ausgeschlossen hatte
Im Oktober nutzte ein externer Akteur „offensive agentic techniques“ – ein Begriff für Angriffsmethoden, die von KI-Agenten durchgeführt werden –, um auf Systeme und interne Tools von Chainalysis zuzugreifen, und erlangte dabei Nutzer-IDs, vollständige Namen, E-Mail-Adressen und Rollenbezeichnungen innerhalb von Organisationen. Die Mitteilung vom 30. Oktober fand „keine Hinweise auf unbefugten Zugriff auf Ermittlungsinhalte, Authentifizierungsdaten oder Session-Tokens“, und eine beigefügte Kunden-E-Mail schloss auch den Zugriff auf Klartext-Passwörter und MFA-Geheimnisse aus.
Chainalysis-Software wird von Polizei, Regierungsbehörden, Börsen und Banken genutzt, um Krypto-Aktivitäten nachzuverfolgen und Betrug, Ransomware und Geldwäsche zu verfolgen.
KYT und Login-Seite nach ungewöhnlichen Aktivitäten offline genommen
Am Montag, dem 2. November, nahm Chainalysis Reactor und Data Solutions offline und engagierte externe Cybersicherheitsexperten zur Unterstützung bei der Reaktion. Die KYT-Compliance-Transaktionsüberwachung, auf die Kunden zur Erkennung von Geldwäsche angewiesen sind, blieb zu diesem Zeitpunkt online.
Am 4. November informierte das Unternehmen einige Kunden per E-Mail darüber, dass einige ihrer Passwörter durch einen „On-Path-Angriff“ offengelegt worden seien – ein Angriff, bei dem ein Angreifer den Datenverkehr zwischen einem Nutzer und dem Dienst abfängt, zu dem er sich verbindet. Es sperrte die betroffenen Konten und wies die Nutzer an, ihre Passwörter auf der regulären Login-Seite zurückzusetzen, mit dem Hinweis, auf keine Links in E-Mails zu klicken, die einen Passwort-Reset verlangten.
Später am selben Tag meldete Chainalysis ungewöhnliche Aktivitäten. Es nahm KYT offline, einschließlich der Benutzeroberfläche und API, sowie weitere Address-Screening-Produkte und die Login-Seite. Reactor, Data Solutions und Chain (Beta) blieben offline. Kunden, deren KYT-Konten offenbar unbefugt aufgerufen wurden, werden direkt benachrichtigt.
Am Donnerstag wird Chainalysis beginnen, KYT und Address Screening wieder online zu bringen. Um wieder Transaktionen registrieren zu können, müssen Kunden zunächst vertrauenswürdige IP-Adressen zu einer Allowlist hinzufügen, die den Zugriff auf genehmigte Netzwerkadressen beschränkt, anschließend ihre Passwörter zurücksetzen und ihre API-Schlüssel rotieren. Alle Nutzer werden ihre Passwörter und API-Schlüssel ändern müssen, sobald Reactor und Data Solutions wieder online sind. Im Rahmen einer umfassenderen Überprüfung seiner Plattformsicherheit nutzt das Unternehmen große Sprachmodelle.
Cryptopolitan hat berichtet, dass Hackergruppen mit Verbindungen zu China ARTEX übernommen haben, ein in China entwickeltes KI-Penetrationstesting-Framework.
Chainalysis erklärt, der Vorfall stehe in keiner Verbindung zum Binance-Diebstahl von rund 6,3 Milliarden US-Dollar, dem größten Krypto-Hack der Geschichte. Binance hatte mitgeteilt, dass ein kompromittierter Laptop eines DevOps-Ingenieurs mit dem Diebstahl in Verbindung gebracht wurde.
In einem Beitrag auf X am 30. Oktober teilte Chainalysis mit, dass mutmaßlich Nordkorea zuzurechnende Hacks fast 89 % aller gemeldeten Krypto-Hack-Verluste in diesem Jahr ausmachten, gegenüber einem Anteil von 15 % im Jahr 2021.
Das Blockchain-Analyseunternehmen hat Kunden empfohlen, die Zwei-Faktor-Authentifizierung zu aktivieren und auf unaufgeforderte Passwort-Reset-Anfragen achten.
