Firma Chainalysis, zajmująca się analityką blockchaina, potwierdziła naruszenie bezpieczeństwa, które ujawniło dane klientów po tym, jak zewnętrzny atakujący wykorzystał zaawansowane techniki agentic, aby uzyskać nieautoryzowany dostęp do jej systemów wewnętrznych.

Incydent został ujawniony 30 października w oświadczeniu opublikowanym na oficjalnym blogu firmy. Według Chainalysis atakujący uzyskał dostęp do identyfikatorów użytkowników, imion i nazwisk, adresów e-mail oraz ról organizacyjnych powiązanych z kontami klientów. Firma oświadczyła, że jej śledztwo nie wykazało dowodów na to, że doszło do naruszenia wrażliwych dokumentów śledczych, danych uwierzytelniających ani aktywnych sesji.

Chainalysis powiadomiła klientów, zaangażowała zewnętrznych specjalistów ds. cyberbezpieczeństwa i rozpoczęła wzmacnianie swojej infrastruktury bezpieczeństwa. Liczba poszkodowanych użytkowników i organizacji pozostaje nieujawniona.

Naruszenie ma szczególne znaczenie ze względu na rolę Chainalysis w badaniu kradzieży kryptowalut, śledzeniu nielegalnych transakcji oraz dostarczaniu inteligencji blockchainowej instytucjom finansowym i organom ścigania. Ponieważ ta praca wywiadowcza opiera się na zaufanych systemach wewnętrznych, incydent dotyczy nie tylko ujawnionych danych klientów, ale tej samej warstwy infrastruktury, na której branża polega przy śledzeniu skradzionych środków.

Atak agentic ujawnił dane kont klientów

Nieautoryzowany dostęp wykryto w październiku, a Chainalysis zidentyfikowała to, co określiła jako „ofensywne techniki agentic", użyte do przeniknięcia do jej systemów i narzędzi wewnętrznych. Terminologia ta sugeruje zaangażowanie automatycznego oprogramowania zdolnego do wykonywania wieloetapowych zadań, choć firma nie ujawniła, jakie technologie były wykorzystane ani czy sztuczna inteligencja samodzielnie przeprowadziła jakąkolwiek część ataku.

Śledczy ustalili, że atakujący uzyskał dostęp do informacji o kontach klientów, w tym imion i nazwisk, adresów e-mail oraz identyfikatorów ról. Chainalysis określiła ujawnione informacje jako niewrażliwe, ale przyznała, że poszkodowane organizacje wymagają dalszych szczegółów.

Śledztwo w zakresie bezpieczeństwa nie wykazało żadnych oznak naruszenia dokumentów spraw, wyników analiz transakcji, grafów śledczych, notatek ani zapytań. Hasła w postaci jawnej, sekrety uwierzytelniania wieloskładnikowego oraz tokeny sesyjne również pozornie nie zostały objęte incydentem. Ustalenia te mają charakter wstępny, ponieważ prace kryminalistyczne trwają.

Chainalysis nie zidentyfikowała atakującego, nie wyjaśniła początkowego punktu wejścia ani nie ujawniła, jak długo utrzymywał się nieautoryzowany dostęp. Firma współpracuje z zewnętrznymi ekspertami ds. cyberbezpieczeństwa w celu usunięcia wykorzystanych podatności i przeprowadzenia szerszego przeglądu bezpieczeństwa. Wykorzystuje również duże modele językowe, aby pomóc w identyfikacji dodatkowych słabości w swojej infrastrukturze — szczegół, który sytuuje narzędzia oparte na AI po obu stronach tego samego incydentu: w „ofensywnych technikach agentic" użytych do włamania oraz w modelach wdrożonych w celu wzmocnienia obrony.

Organizacje klientów otrzymają indywidualne oceny szczegółowo opisujące, które dokumenty kont zostały objęte dostępem, gdy tylko śledztwo ustali pełny zakres narażenia.

Naruszenie wzmacnia rosnące obawy o cyberbezpieczeństwo w kryptowalutach

Chociaż naruszone informacje najwyraźniej nie obejmują haseł ani dokumentów śledczych, ujawnione tożsamości pracowników i role organizacyjne mogą stworzyć możliwości dla ukierunkowanych ataków phishingowych. Przestępcy mogliby potencjalnie wykorzystać te dane do podszywania się pod zaufane kontakty, wysyłania wiarygodnych żądań uwierzytelnienia lub celowania w pracowników z uprzywilejowanym dostępem do śledztw finansowych.

Chainalysis wezwała klientów do zachowania czujności wobec nieoczekiwanych resetów haseł i żądań uwierzytelnienia, jednocześnie zalecając uwierzytelnianie dwuskładnikowe dla kont, na których ta ochrona nie jest włączona.

Ujawnienie incydentu nastąpiło w wyjątkowo intensywnym okresie dla zdarzeń związanych z bezpieczeństwem kryptowalut. 31 października co najmniej 12 stron internetowych związanych z kryptowalutami zostało zaatakowanych w ramach kampanii porwania DNS StepDrainer, która narażała odwiedzających na złośliwe żądania zatwierdzenia portfela poprzez naruszoną infrastrukturę frontendową. Kilka dni wcześniej Polymarket ucierpiał w wyniku ataku opróżniającego portfele na kwotę 2,7 miliona dolarów, związanego z naruszonym skryptem monitorującym strony trzecie.

Incydenty te ilustrują różne metody ataku, w których atakujący wykorzystują infrastrukturę i dostęp operacyjny, a niekoniecznie same protokoły blockchain.

Chainalysis podkreśliła również, że jej naruszenie nie było związane z niedawnym incydentem bezpieczeństwa Binance o wartości 6,3 miliarda dolarów, który obejmował nieautoryzowane wypłaty kryptowalut i znaczne zamrożenia aktywów. Obecnie żadne dowody nie łączą tych ataków.

Dla Chainalysis bezpośrednim wyzwaniem jest ustalenie pełnego zakresu narażenia danych klientów przy jednoczesnym utrzymaniu zaufania do integralności swoich systemów śledczych. Firma obiecała dalsze aktualizacje, jednak tożsamość atakującego, dokładna metoda włamania i liczba naruszonych kont pozostają niewyjaśnione. Indywidualne oceny obiecane organizacjom klientów, wraz z wynikami trwającego przeglądu kryminalistycznego, uzupełnią pozostałe luki.

Źródło: Crypto Adventure