Chainalysis dichiara che gli hacker hanno ottenuto hash delle password e token attivi di tutti gli utenti della piattaforma
Punti chiave
- •Gli hacker hanno ottenuto l'accesso a nomi, username, hash delle password e token di sessione attivi di tutti gli utenti della piattaforma Chainalysis.
- •La divulgazione contraddice l'avviso di sicurezza del 30 ottobre, in cui la società riferiva l'assenza di prove di compromissione di credenziali, token di sessione o password in chiaro.
- •Chainalysis ha messo offline Reactor, Data Solutions, il monitoraggio delle transazioni KYT, i prodotti di screening degli indirizzi e la pagina di login all'inizio di novembre, dopo il rilevamento di attività anomala.
- •La società dichiara che alcune password dei clienti sono state esposte tramite un attacco on-path, in cui un attaccante intercetta il traffico tra gli utenti e il servizio.
- •Prima della ripresa dei servizi, i clienti devono aggiungere indirizzi IP attendibili a una allowlist, reimpostare le password e ruotare le chiavi API, e Chainalysis afferma che la violazione non è correlata al furto di circa 6,3 miliardi di dollari subito da Binance.
Chainalysis ha rivelato che hacker hanno ottenuto l'accesso a nomi, username, hash delle password e token attivi di tutti gli utenti della sua piattaforma. Gli hash delle password sono versioni codificate a senso unico delle password e non le password stesse, mentre i token attivi sono credenziali di sessione in uso che possono consentire l'accesso a un account senza digitare la password. La società di analisi blockchain aveva dichiarato in un avviso ufficiale sull'incidente di sicurezza pubblicato il 30 ottobre che non aveva prove che le credenziali fossero state toccate.
L'azienda ha rilevato l'esposizione lunedì e ha messo offline i suoi prodotti Reactor e Data Solutions durante le indagini. Ha dichiarato di non avere ancora prove che i dati investigativi siano stati consultati o che i suoi dati di attribuzione siano stati manipolati.
Token attivi divulgati dopo un avviso precedente che escludeva le credenziali
A ottobre, un attore esterno ha utilizzato "tecniche agentiche offensive", espressione che indica metodi di attacco condotti da agenti AI, per accedere ai sistemi e agli strumenti interni di Chainalysis, ottenendo ID utente, nomi completi, indirizzi email ed etichette di ruolo organizzativo. L'avviso del 30 ottobre non aveva rilevato "prove di accesso non autorizzato ai contenuti investigativi, alle credenziali di autenticazione o ai token di sessione", e un'email allegata ai clienti escludeva anche l'accesso alle password in chiaro e ai segreti MFA.
Il software Chainalysis è utilizzato da polizia, agenzie governative, exchange e banche per tracciare l'attività crypto e contrastare frodi, ransomware e riciclaggio di denaro.
KYT e pagina di login messi offline dopo attività anomala
Lunedì 2 novembre, Chainalysis ha messo offline Reactor e Data Solutions e ha assunto esperti esterni di cybersecurity per sostenere la risposta. Il monitoraggio delle transazioni di conformità KYT, da cui i clienti dipendono per rilevare il riciclaggio di denaro, era rimasto online in quella fase.
Il 4 novembre, l'azienda ha inviato un'email ad alcuni clienti per informarli che alcune delle loro password erano state esposte in un "attacco on-path", in cui un attaccante intercetta il traffico tra un utente e il servizio a cui si sta connettendo. Ha bloccato gli account interessati e ha istruito gli utenti a reimpostare le password sulla normale pagina di login, avvertendoli di non cliccare alcun link nelle email che affermassero la necessità di un reset della password.
Più tardi lo stesso giorno, Chainalysis ha segnalato attività anomala. Ha messo offline KYT, inclusa l'interfaccia utente e l'API, insieme ad altri prodotti di screening degli indirizzi e alla sua pagina di login. Reactor, Data Solutions e Chain (Beta) restavano fuori servizio. I clienti i cui account KYT risultano essere stati consultati senza autorizzazione vengono avvisati direttamente.
Giovedì, Chainalysis inizierà a riportare online KYT e Address Screening. Per registrare nuovamente le transazioni, i clienti devono prima aggiungere indirizzi IP attendibili a una allowlist che limita l'accesso agli indirizzi di rete approvati, quindi reimpostare le password e ruotare le chiavi API. Tutti gli utenti dovranno modificare le proprie password e chiavi API una volta che Reactor e Data Solutions saranno di nuovo online. Nell'ambito di una revisione più ampia della sicurezza della piattaforma, l'azienda sta utilizzando modelli linguistici di grandi dimensioni.
Cryptopolitan ha riferito che gruppi di hacker legati alla Cina hanno adottato ARTEX, un framework di penetration testing basato su AI sviluppato in Cina.
Chainalysis dichiara che la violazione non è correlata al furto di circa 6,3 miliardi di dollari ai danni di Binance, il più grande hack crypto mai registrato. Binance ha dichiarato che un laptop compromesso di un ingegnere DevOps è stato collegato a quel furto.
In un post su X del 30 ottobre, Chainalysis ha dichiarato che gli hack sospettati di essere collegati alla Corea del Nord hanno rappresentato quasi l'89% di tutte le perdite da hack crypto riportate quest'anno, rispetto a una quota del 15% nel 2021.
La società di analisi blockchain ha consigliato ai clienti di attivare l'autenticazione a due fattori e di restare vigili rispetto a richieste di reset della password non sollecitate.
