Chainalysis heeft bekendgemaakt dat hackers toegang kregen tot de namen, gebruikersnamen, wachtwoord-hashes en actieve tokens van alle gebruikers op het platform. Wachtwoord-hashes zijn eenrichtingsversleutelde varianten van wachtwoorden en niet de wachtwoorden zelf, terwijl actieve tokens geldige sessie-inloggegevens zijn die toegang tot een account kunnen verlenen zonder dat een wachtwoord wordt ingevoerd. Het blockchain-analysebedrijf had in een officiële mededeling over het beveiligingsincident van 30 oktober nog gezegd geen aanwijzingen te hebben dat inloggegevens waren geraakt.

Het bedrijf ontdekte de blootstelling op maandag en nam zijn producten Reactor en Data Solutions offline tijdens het onderzoek. Het verklaarde nog steeds geen aanwijzingen te hebben dat onderzoeksdata is geraadpleegd of dat zijn attributiedata is gemanipuleerd.

Actieve tokens gelekt nadat eerdere mededeling inloggegevens uitsloot

In oktober kreeg een externe actor met behulp van "offensive agentic techniques" – een term voor aanvalsmethoden die door AI-agenten worden uitgevoerd – toegang tot de systemen en interne tools van Chainalysis, waarbij gebruikers-ID's, volledige namen, e-mailadressen en organisatierollabels werden verkregen. De mededeling van 30 oktober meldde "geen aanwijzingen voor ongeautoriseerde toegang tot onderzoekscontent, authenticatiegegevens of sessietokens", en een bijgevoegde klantene-mail sloot ook toegang tot wachtwoorden in leesbare tekst en MFA-geheimen uit.

Chainalysis-software wordt door politie, overheidsinstanties, exchanges en banken gebruikt om crypto-activiteit te volgen en fraude, ransomware en witwassen op te sporen.

KYT en inlogpagina offline na afwijkende activiteit

Op maandag 2 november nam Chainalysis Reactor en Data Solutions offline en schakelde externe cybersecurityexperts in voor de respons. De KYT-compliancetransactiemonitoring, waarop klanten vertrouwen om witwassen op te sporen, bleef op dat moment online.

Op 4 november informeerde het bedrijf een aantal klanten per e-mail dat sommige van hun wachtwoorden waren blootgesteld bij een "on-path-aanval", waarbij een aanvaller het verkeer onderschept tussen een gebruiker en de dienst waarmee deze verbinding maakt. Het bedrijf vergrendelde de getroffen accounts en verzocht gebruikers hun wachtwoord te resetten via de normale inlogpagina, met de waarschuwing niet op links te klikken in e-mails die meldden dat een wachtwoordreset nodig was.

Later die dag meldde Chainalysis afwijkende activiteit. Het nam KYT offline, inclusief de gebruikersinterface en API, samen met andere adres screening-producten en de inlogpagina. Reactor, Data Solutions en Chain (Beta) bleven onbereikbaar. Klanten van wie de KYT-accounts naar het zich laat aanzien ongeautoriseerd zijn geraadpleegd, worden direct geïnformeerd.

Op donderdag begint Chainalysis KYT en Address Screening weer online te brengen. Om opnieuw transacties te registreren, moeten klanten eerst vertrouwde IP-adressen toevoegen aan een allowlist die de toegang beperkt tot goedgekeurde netwerkadressen, daarna hun wachtwoorden resetten en hun API-sleutels roteren. Alle gebruikers moeten hun wachtwoorden en API-sleutels wijzigen zodra Reactor en Data Solutions weer online zijn. Als onderdeel van een bredere evaluatie van de platformbeveiliging maakt het bedrijf gebruik van grote taalmodellen.

Cryptopolitan heeft gemeld dat hackinggroepen met banden met China ARTEX hebben omarmd, een AI-framework voor penetratietests dat in China is ontwikkeld.

Chainalysis zegt dat de inbreuk niet verband houdt met de diefstal van ongeveer $6,3 miljard bij Binance, de grootste cryptohack ooit geregistreerd. Binance heeft gezegd dat een gecompromitteerde laptop van een DevOps-ingenieur met die diefstal in verband werd gebracht.

In een bericht op X op 30 oktober zei Chainalysis dat vermoedelijk aan Noord-Korea gelinkte hacks bijna 89% uitmaakten van alle gerapporteerde cryptohackverliezen dit jaar, tegen een aandeel van 15% in 2021.

Het blockchain-analysebedrijf heeft klanten geadviseerd tweefactorauthenticatie te activeren en alert te blijven op ongevraagde verzoeken tot wachtwoordreset.