Chainalysis stoppt KYT: Passwort-Hashes aller Nutzer offen

Chainalysis: Daten aller Nutzer betroffen

In einem Update, das am Mittwoch, dem 4. November, um 23 Uhr US-Ostküstenzeit erschien, teilte Chainalysis mit, es habe am Montag, dem 2. November, festgestellt, dass Kundendaten einem böswilligen Akteur zugänglich geworden seien. Betroffen seien Namen, Benutzernamen, Passwort-Hashes und aktive Token aller Chainalysis-Nutzer. Zudem habe das Unternehmen bei seinen Produkten zur Transaktionsüberwachung ungewöhnliche Aktivitäten festgestellt.

Damit fällt der Vorfall deutlich schwerer aus als in der ersten Mitteilung vom 30. Oktober. Damals hatte Chainalysis erklärt, Angreifer hätten auf Kundendaten zugegriffen, es gebe aber keine Hinweise auf einen unbefugten Zugriff auf Ermittlungsinhalte, Zugangsdaten oder Sitzungstoken.

Inzwischen hat Chainalysis seine Plattform zur Transaktionsüberwachung „Know Your Transaction“ (KYT) offline genommen, sowohl die Benutzeroberfläche als auch die Programmierschnittstelle (API). Abgeschaltet sind auch weitere Produkte zum Adress-Screening und die Anmeldeseite. Die Ermittlungsplattform Reactor, die Produkte von Data Solutions und der Dienst Chain (Beta) waren bereits zuvor vom Netz gegangen.

Nach eigenen Angaben hatte das Unternehmen zusätzliche Überwachungssysteme eingeführt und dabei ungewöhnliche Aktivitäten entdeckt. Kunden, auf deren KYT-Konten offenbar unbefugt zugegriffen wurde, informiere es direkt.

Hinweise darauf, dass jemand auf Ermittlungsdaten zugegriffen oder die Zuordnungsdaten von Chainalysis manipuliert habe, gebe es weiterhin nicht. Am Donnerstag, dem 5. November, wollte das Unternehmen damit beginnen, den Zugang zu KYT und zum Adress-Screening wiederherzustellen. Kunden müssen dafür vertrauenswürdige IP-Adressen für eine Freigabeliste melden. Im Zuge der Wiederherstellung müssen zudem alle Nutzer ihr Passwort zurücksetzen und, wo nötig, ihre API-Schlüssel erneuern.

Angreifer nutzte agentische Techniken

Erstmals hatte Chainalysis den Vorfall am 30. Oktober gemeldet. Ein externer Angreifer habe „offensive agentische Techniken“ eingesetzt, um sich unbefugt Zugang zu Systemen und internen Werkzeugen zu verschaffen.

Der Begriff deutet auf autonome oder KI-gestützte Methoden hin. Wie diese angewendet wurden und welche Schwachstellen der Angreifer ursprünglich ausnutzte, erklärte das Unternehmen nicht. Zugegriffen worden sei damals auf Benutzer-IDs, vollständige Namen, E-Mail-Adressen und Angaben zu Rollen in den Organisationen. Chainalysis stufte diese Daten als nicht sensibel ein und kündigte an zu ermitteln, welche Datensätze der einzelnen Kunden betroffen sind.

Die Updates vom Mittwoch zeigten ein deutlich größeres Problem. Am Vormittag bestätigte Chainalysis, dass bei einem „On-Path-Angriff“ Passwörter eines Teils der Kunden offengelegt worden seien. Bei solchen Angriffen fangen Angreifer die Kommunikation zwischen Systemen oder Nutzern ab und können so an sensible Daten gelangen. Dieser Angriffsweg sei eingedämmt und behoben. Betroffene Kunden erhielten die Nachricht, dass ihre Konten vorsorglich gesperrt seien, bis sie ihr Passwort zurückgesetzt hätten.

Am späten Abend folgte die Mitteilung, dass Passwort-Hashes und aktive Token aller Nutzer offengelegt worden seien. Die möglichen Folgen reichen damit weit über die zunächst betroffene Gruppe hinaus. Wie viele Nutzer oder Organisationen betroffen sind, wie lange die Angreifer Zugriff hatten und ob sie mit den Token weitere Konten übernommen haben, teilte Chainalysis nicht mit.

Vorfall trifft wichtige Infrastruktur der Kryptobranche

Der Vorfall wiegt schwer, weil Chainalysis Kryptobörsen, Finanzinstitute, Aufsichtsbehörden und Strafverfolgungsbehörden mit Blockchain-Analysen und Compliance-Werkzeugen versorgt. Mit Reactor verfolgen Ermittler Kryptozahlungen und untersuchen Verbindungen zwischen Blockchain-Adressen. Mit KYT überwachen Unternehmen Transaktionen auf Geldwäsche, Sanktionsrisiken und andere illegale Aktivitäten. Zu den Kunden zählt laut einer Fallstudie von Chainalysis aus dem Jahr 2023 auch die Börse Stuttgart Group, deren Digitalsparte die Daten für Geldwäscheprüfungen und Compliance nutzt.

Die Abschaltung könnte Ermittlungen und Compliance-Prüfungen bei Organisationen beeinträchtigen, die auf Chainalysis angewiesen sind. Welche Folgen das für die Kunden hat, hat das Unternehmen noch nicht beziffert.

Zunächst hatte Chainalysis seine Produkte zur Transaktionsüberwachung weiterlaufen lassen, während andere Dienste offline gingen. Es begründete das mit ihrer Bedeutung für die Aufdeckung von Geldwäsche. Nachdem am Mittwoch weitere ungewöhnliche Aktivitäten aufgefallen waren, änderte es diese Entscheidung. Chainalysis hat externe Spezialisten für Cybersicherheit hinzugezogen und setzt nach eigenen Angaben auch fortgeschrittene große Sprachmodelle ein, um die Sicherheit seiner Plattform zu überprüfen und seine Abwehr zu stärken.

Mit dem Diebstahl von Kryptowerten im Wert von 6,3 Milliarden Dollar (rund 5,62 Milliarden Euro) bei Binance Ende Oktober habe der Angriff nichts zu tun, betonte das Unternehmen. Unabhängig davon wurde am 2. November die brasilianische Kryptobörse Mercado Bitcoin angegriffen. Dort wurden Kryptowerte im Wert von rund 38 Millionen Dollar (rund 34 Millionen Euro) entwendet, an der Sperrung von 11 Millionen Dollar (rund 9,8 Millionen Euro) war laut der Börse auch Chainalysis beteiligt.

Chainalysis fordert seine Kunden auf, bei unerwarteten Nachrichten und Anfragen zur Anmeldung wachsam zu bleiben, die Zwei-Faktor-Authentifizierung zu aktivieren und Passwörter zu ändern, die sie auch bei anderen Diensten verwenden. Die Untersuchung dauert an. Weitere Mitteilungen sind möglich, sobald das Unternehmen das volle Ausmaß des Vorfalls kennt und seine Dienste wiederherstellt.