Chainalysis ujawniła, że hakerzy uzyskali dostęp do imion i nazwisk, nazw użytkowników, hashy haseł oraz aktywnych tokenów wszystkich użytkowników swojej platformy. Hashe haseł to jednostronnie „zamieszane” wersje haseł, a nie same hasła, natomiast aktywne tokeny to ważne dane uwierzytelniające sesji, które mogą zapewnić dostęp do konta bez wpisywania hasła. Firma analityczna ds. blockchainu oświadczyła wcześniej w oficjalnym komunikacie o incydencie bezpieczeństwa opublikowanym 30 października, że nie ma dowodów na naruszenie danych uwierzytelniających.

Spółka wykryła wyciek w poniedziałek i w trakcie dochodzenia wyłączyła produkty Reactor i Data Solutions. Oświadczyła, że nadal nie ma dowodów na dostęp do danych śledztw ani na manipulację danymi atrybucji.

Aktywne tokeny wyciekły po wcześniejszym komunikacie wykluczającym naruszenie danych uwierzytelniających

W październiku zewnętrzny sprawca użył „ofensywnych technik agentowych” – określenia odnoszącego się do metod ataku przeprowadzanych przez agenty AI – aby uzyskać dostęp do systemów i narzędzi wewnętrznych Chainalysis, pozyskując identyfikatory użytkowników, pełne imiona i nazwiska, adresy e-mail oraz etykiety ról w organizacji. Komunikat z 30 października stwierdzał o „braku dowodów na nieautoryzowany dostęp do treści śledztw, danych uwierzytelniających lub tokenów sesji”, a załączony e-mail do klientów wykluczał również dostęp do haseł w postaci jawnej oraz sekretów MFA.

Oprogramowanie Chainalysis jest wykorzystywane przez policję, agencje rządowe, giełdy i banki do śledzenia aktywności kryptowalutowej oraz zwalczania oszustw, ransomware i prania pieniędzy.

KYT i strona logowania wyłączone po wykryciu niepokojącej aktywności

W poniedziałek 2 listopada Chainalysis wyłączyła Reactor i Data Solutions oraz zatrudniła zewnętrznych ekspertów ds. cyberbezpieczeństwa, aby wspomóc reakcję na incydent. Monitoring transakcji KYT służący zgodności, od którego zależą klienci w wykrywaniu prania pieniędzy, pozostał wówczas online.

4 listopada firma poinformowała e-mailem część klientów, że niektóre z ich haseł zostały ujawnione w wyniku „ataku on-path”, w którym atakujący przechwytuje ruch między użytkownikiem a usługą, z którą się łączy. Spółka zablokowała dotknięte konta i poinstruowała użytkowników, aby zresetowali hasła na zwykłej stronie logowania, ostrzegając przed klikaniem jakichkolwiek linków w e-mailach twierdzących, że wymagany jest reset hasła.

Jeszcze tego samego dnia Chainalysis zgłosiła niepokojącą aktywność. Wyłączyła KYT, w tym interfejs użytkownika i API, a także pozostałe produkty do skanowania adresów oraz stronę logowania. Reactor, Data Solutions i Chain (Beta) pozostały offline. Klienci, których konta KYT mogły zostać uzyskane bez autoryzacji, są powiadamiani bezpośrednio.

W czwartek Chainalysis rozpocznie przywracanie online KYT i Address Screening. Aby ponownie rejestrować transakcje, klienci muszą najpierw dodać zaufane adresy IP do listy dozwolonych, ograniczającej dostęp do zatwierdzonych adresów sieciowych, a następnie zresetować hasła i dokonać rotacji kluczy API. Wszyscy użytkownicy będą musieli zmienić hasła i klucze API po przywróceniu Reactor i Data Solutions. W ramach szerszego przeglądu bezpieczeństwa platformy spółka korzysta z dużych modeli językowych.

Cryptopolitan informował, że grupy hakerskie powiązane z Chinami przyjęły ARTEX, opracowany w Chinach framework do testów penetracyjnych oparty na AI.

Chainalysis oświadcza, że naruszenie nie jest związane z kradzieżą ok. 6,3 mld dolarów z Binance – największym udokumentowanym hakiem kryptowalutowym. Binance poinformował, że z kradzieżą był powiązany skompromitowany laptop inżyniera DevOps.

W poście na X z 30 października Chainalysis poinformowała, że haki przypisywane grupom powiązanym z Koreą Północną stanowiły prawie 89% wszystkich zgłoszonych w tym roku strat z haków kryptowalutowych, w porównaniu z udziałem 15% w 2021 roku.

Firma analityczna ds. blockchainu zaleciła klientom włączenie uwierzytelniania dwuskładnikowego i czujność wobec niezamówionych próśb o reset hasła.