Chainalysis раскрыла, что хакеры получили доступ к именам, именам пользователей, хэшам паролей и активным токенам всех пользователей своей платформы. Хэши паролей — это односторонне зашифрованные версии паролей, а не сами пароли, тогда как активные токены представляют собой действующие сессионные учётные данные, которые могут предоставить доступ к аккаунту без ввода пароля. Ранее, 30 октября, в официальном уведомлении об инциденте безопасности блокчейн-аналитическая компания заявила, что у неё нет свидетельств компрометации учётных данных.

Компания обнаружила утечку в понедельник и на время расследования отключила свои продукты Reactor и Data Solutions. По её словам, по-прежнему нет свидетельств доступа к данным расследований или манипуляций с данными атрибуции.

Утечка активных токенов после уведомления, исключавшего компрометацию учётных данных

В октябре внешний злоумышленник с использованием «offensive agentic techniques» — выражения, обозначающего методы атак, осуществляемых ИИ-агентами, — получил доступ к системам и внутренним инструментам Chainalysis, добыв идентификаторы пользователей, полные имена, адреса электронной почты и метки ролей в организациях. В уведомлении от 30 октября говорилось об «отсутствии признаков несанкционированного доступа к материалам расследований, учётным данным для аутентификации или сессионным токенам», а в приложенном письме клиентам также исключался доступ к паролям в открытом виде и секретам MFA.

Программное обеспечение Chainalysis используется полицией, государственными органами, биржами и банками для отслеживания криптоактивности и борьбы с мошенничеством, программами-вымогателями и отмыванием денег.

Отключение KYT и страницы входа после аномальной активности

В понедельник, 2 ноября, Chainalysis отключила Reactor и Data Solutions и привлекла внешних специалистов по кибербезопасности для помощи в реагировании. Сервис комплаенс-мониторинга транзакций KYT, от которого зависят клиенты для выявления отмывания денег, на том этапе оставался в работе.

4 ноября компания по электронной почте уведомила некоторых клиентов о том, что часть их паролей была раскрыта в результате атаки «on-path», при которой злоумышленник перехватывает трафик между пользователем и подключаемым им сервисом. Затронутые аккаунты были заблокированы, а пользователям поручили сбросить пароли на обычной странице входа, предупредив их не переходить по ссылкам в письмах, требующих сброса пароля.

Позже в тот же день Chainalysis сообщила об аномальной активности. Компания отключила KYT, включая пользовательский интерфейс и API, а также другие продукты проверки адресов и свою страницу входа. Reactor, Data Solutions и Chain (Beta) оставались недоступными. Клиенты, чьи аккаунты KYT, как предполагается, были затронуты несанкционированным доступом, уведомляются напрямую.

В четверг Chainalysis начнёт возвращать KYT и Address Screening в работу. Чтобы вновь регистрировать транзакции, клиентам сначала необходимо добавить доверенные IP-адреса в белый список, ограничивающий доступ утверждёнными сетевыми адресами, затем сбросить пароли и ротировать API-ключи. Все пользователи должны будут изменить пароли и API-ключи после возвращения Reactor и Data Solutions в работу. В рамках более широкого пересмотра безопасности платформы компания использует большие языковые модели.

Cryptopolitan сообщала, что хакерские группировки, связанные с Китаем, приняли на вооружение ARTEX — разработанный в Китае фреймворк для ИИ-пентестинга.

Chainalysis заявляет, что взлом не связан с хищением около $6,3 млрд у Binance — крупнейшей криптоатакой в истории. Binance сообщила, что к краже был причастен скомпрометированный ноутбук инженера DevOps.

В публикации на X 30 октября Chainalysis сообщила, что на атаки, предположительно связанные с КНДР, пришлось почти 89% всех потерь от криптохаков, зафиксированных в этом году, по сравнению с долей 15% в 2021 году.

Компания по блокчейн-аналитике рекомендовала клиентам активировать двухфакторную аутентификацию и быть внимательными к незапрошенным запросам на сброс пароля.