Chainalysisは、ハッカーが同社プラットフォーム上の全ユーザーの氏名、ユーザー名、パスワードハッシュ、有効なトークンにアクセスしたことを明らかにした。パスワードハッシュはパスワードそのものではなく、一方向にスクランブル処理されたバージョンであり、有効なトークンはパスワードを入力せずにアカウントへのアクセスを可能にするアクティブなセッション認証情報である。同ブロックチェーン分析企業は、10月30日に公開した公式のセキュリティインシデント通知において、認証情報に手が加えられた証拠はないと述べていた。

同社は月曜日にこの情報流出を検知し、調査の間、ReactorとData Solutionsの各製品をオフラインにした。調査データへのアクセスやアトリビューションデータの改ざんの証拠はないとしている。

先行通知が認証情報へのアクセスを否定した後、有効なトークンが流出

10月、外部の攻撃者が「攻撃的エージェント手法」、すなわちAIエージェントによって実行される攻撃手法を指す言葉を用いてChainalysisのシステムと内部ツールにアクセスし、ユーザーID、氏名、メールアドレス、組織内の役割ラベルを取得した。10月30日の通知は「調査コンテンツ、認証情報、セッショントークンへの不正アクセスの証拠はない」としており、添付された顧客向けメールも平文パスワードおよびMFAシークレットへのアクセスを否定していた。

Chainalysisのソフトウェアは、警察、政府機関、取引所、銀行によって、暗号資産アクティビティの追跡や詐欺、ランサムウェア、マネーロンダリングの追跡に使用されている。

異常なアクティビティを受けてKYTとログインページをオフラインに

11月2日月曜日、ChainalysisはReactorとData Solutionsをオフラインにし、外部のサイバーセキュリティ専門家に対応への協力を要請した。顧客がマネーロンダリングの検出に依存しているKYTコンプライアンス取引監視は、この時点ではオンラインのままだった。

11月4日、同社は一部の顧客にメールで、一部のパスワードが「オンパス攻撃」、すなわち攻撃者がユーザーと接続先サービス間のトラフィックを傍受する攻撃により流出したと通知した。同社は影響を受けたアカウントをロックし、通常のログインページでパスワードをリセットするよう指示するとともに、パスワードリセットを求める内容のメールに含まれるリンクをクリックしないよう警告した。

同日遅く、Chainalysisは異常なアクティビティを報告した。同社は、ユーザーインターフェースとAPIを含むKYT、その他のアドレススクリーニング製品、ログインページをオフラインにした。Reactor、Data Solutions、Chain(ベータ)は引き続き停止中であり、KYTアカウントが不正にアクセスされた可能性がある顧客には直接通知が行われている。

木曜日、ChainalysisはKYTとAddress Screeningのオンライン復旧を開始する予定である。取引の登録を再開するには、顧客はまず承認されたネットワークアドレスへのアクセスを制限する許可リストに信頼できるIPアドレスを追加し、その後パスワードをリセットし、APIキーをローテーションする必要がある。ReactorとData Solutionsがオンラインに戻り次第、全ユーザーがパスワードとAPIキーを変更することが求められる。同社はプラットフォームセキュリティのより広範な見直しの一環として、大規模言語モデルを活用している。

Cryptopolitanは、中国関連のハッキンググループが中国で開発されたAIペネトレーションテストフレームワークARTEXを採用したと報じている。

Chainalysisは、今回の侵害は記録史上最大の暗号資産ハッキングである約63億ドルのBinance盗難事件とは無関係であるとしている。Binanceは、DevOpsエンジニアのノートPCが侵害されたことがこの盗難事件に結び付いていたと述べている。

Chainalysisは10月30日にXへの投稿で、北朝鮮関連が疑われるハッキングが今年報告された暗号資産ハッキング損失全体の約89%を占めたと述べた。2021年の割合は15%だった。

同ブロックチェーン分析企業は、顧客に対し二要素認証を有効化し、要求されていないパスワードリセットの要求に警戒を怠らないよう助言している。