ブロックチェーン分析企業Chainalysisは、最近のサイバー攻撃によって当初報告よりも広範な顧客データが流出したと発表した。流出したデータにはパスワードハッシュとライブトークンが含まれ、同社は当初、この侵入は非機密性の顧客情報のみに関わるものだと説明していた。

水曜日に公表されたインシデント通知の更新の中で、同社は被害が当初の評価よりも広範だったことを明らかにした。パスワードハッシュとはパスワードを一方向の暗号学的処理で変換したもの、ライブトークンとはユーザーをサービスにログイン状態に保つ認証情報である。

「月曜日、Chainalysisの全ユーザーを対象に、氏名、ユーザー名、パスワードハッシュおよびライブトークンを含む顧客情報が悪意ある攻撃者に露出したことが判明した」と、同ブロックチェーン分析企業は更新の中で述べた。

同社は、各種類の情報がすべてのユーザーについて流出したかどうかは明らかにしておらず、公表済みの開示内容を超える追加情報の提供も拒否した。

Chainalysisは10月30日にこの侵入を最初に報告しており、当時はユーザーID、氏名、メールアドレスが流出したものの、攻撃者が認証情報やセッショントークンにアクセスした証拠は見つからなかったとしていた。

別の水曜日の更新では、「オンパス攻撃」により一部顧客のパスワードが流出したと説明した。オンパス攻撃とは、攻撃者が二者間の通信を傍受する手法である。同社はこの攻撃経路を封じ込めて対応を完了したとし、影響を受けたアカウントのロックとパスワードリセットを求めていると述べた。

被害範囲の拡大にもかかわらず、Chainalysisは、攻撃者が同社の調査データにアクセスしたり、アトリビューションデータを改ざんしたりした証拠は依然としてないとしている。同社のアトリビューション業務は暗号資産取引を現実世界の主体と結び付けるものであり、その分析は暗号資産企業や政府機関によってコンプライアンスおよび調査業務に活用されている。

10月30日の通知では、パスワードハッシュやライブトークンの流出には言及がなかった。同社は侵入を最初に開示して以来、インシデント通知を相次いで更新している。