Violazione Chainalysis: password e token utenti esposti, servizi sospesi

Nel suo ultimo aggiornamento, pubblicato mercoledì 4 novembre alle 23:00 ET, Chainalysis ha dichiarato di aver scoperto lunedì che le informazioni dei clienti — tra cui nomi, nomi utente, hash delle password e token attivi — erano state esposte a un attore malintenzionato. L’azienda ha inoltre confermato attività sospette relative ai propri prodotti di monitoraggio della conformità, sollevando preoccupazioni circa la portata più ampia della violazione.

La divulgazione rappresenta un significativo aggravamento rispetto all’annuncio iniziale dell’azienda del 30 ottobre, quando Chainalysis aveva segnalato che gli hacker avevano avuto accesso a informazioni di base sui clienti, ma aveva affermato che non vi erano prove di credenziali di autenticazione o dati investigativi compromessi.

Chainalysis ha dichiarato di aver ora messo offline la propria piattaforma di monitoraggio «Know Your Transaction» (KYT), compresa l’interfaccia utente e l’API, insieme ai prodotti di screening degli indirizzi e alla pagina di accesso. Sono stati disattivati anche la piattaforma investigativa Reactor, i prodotti Data Solutions e il servizio Chain (Beta).

L’azienda ha dichiarato di aver rilevato attività anomale nei propri sistemi di screening delle transazioni dopo aver introdotto ulteriori misure di monitoraggio. Sta informando direttamente i clienti i cui account KYT sembrano essere stati oggetto di accesso non autorizzato.

Nonostante le crescenti preoccupazioni in materia di sicurezza, Chainalysis ha dichiarato di non aver trovato prove che dimostrino l’accesso a dati investigativi riservati o la manipolazione dei propri dati di attribuzione blockchain. L’azienda prevede di ripristinare l’accesso a KYT e all’Address Screening giovedì 5 novembre, utilizzando un sistema che richiede ai clienti di fornire indirizzi IP affidabili da inserire in una lista bianca. I clienti potranno quindi reimpostare le password e ruotare le chiavi API. Chainalysis ha precisato che tutti gli utenti saranno tenuti a reimpostare le proprie password e a ruotare le chiavi API, ove opportuno, nell’ambito del più ampio processo di ripristino.

Un attacco assistito dall’intelligenza artificiale espone le informazioni dei clienti

Chainalysis ha reso noto l’incidente per la prima volta il 30 ottobre, spiegando di aver rilevato un aggressore esterno che utilizzava quelle che ha definito «tecniche offensive basate su agenti» per ottenere accesso non autorizzato ai sistemi e agli strumenti interni.

La terminologia suggerisce che l’autore dell’attacco abbia impiegato tecniche autonome o assistite dall’intelligenza artificiale, sebbene l’azienda non abbia fornito una spiegazione tecnica su come tali metodi siano stati utilizzati né abbia identificato le vulnerabilità inizialmente sfruttate. All’epoca, Chainalysis aveva ammesso che fossero stati consultati ID utente, nomi completi, indirizzi e-mail e informazioni sui ruoli organizzativi. Ha definito tali dati come non sensibili e ha dichiarato di stare valutando il numero di clienti coinvolti. Tuttavia, gli aggiornamenti di mercoledì hanno rivelato una violazione di entità notevolmente più grave. In precedenza, nella stessa giornata, Chainalysis aveva confermato che un “attacco on-path” aveva compromesso le password di un sottogruppo di clienti. Tali attacchi comportano l’intercettazione delle comunicazioni tra sistemi o utenti, consentendo potenzialmente agli aggressori di acquisire informazioni sensibili. L’azienda ha dichiarato che quel particolare metodo di attacco era stato contenuto e risolto, e ha iniziato a informare i clienti coinvolti che i loro account sarebbero stati bloccati fino alla modifica delle password.

Poche ore dopo, Chainalysis ha reso noto che erano stati esposti gli hash delle password e i token attivi di tutti gli utenti, ampliando notevolmente il potenziale impatto oltre il gruppo inizialmente identificato. L’azienda non ha rivelato quanti utenti individuali o organizzazioni siano stati colpiti, per quanto tempo gli aggressori abbiano mantenuto l’accesso, né se i token esposti siano stati utilizzati per compromettere ulteriori account.

Un incidente di sicurezza compromette un’infrastruttura critica nel settore delle criptovalute

La violazione è particolarmente significativa poiché Chainalysis fornisce strumenti di analisi blockchain e di conformità a exchange di criptovalute, istituzioni finanziarie, autorità di regolamentazione e forze dell’ordine. La sua piattaforma Reactor aiuta gli investigatori a tracciare i movimenti di criptovalute ed esaminare le connessioni tra indirizzi blockchain, mentre KYT consente alle aziende di monitorare le transazioni alla ricerca di potenziali casi di riciclaggio di denaro, esposizione a sanzioni e altre attività illecite.

L’interruzione di questi sistemi potrebbe compromettere le indagini e le operazioni di conformità presso le organizzazioni che si affidano a Chainalysis, sebbene l’azienda non abbia quantificato l’impatto sui clienti.

Inizialmente l’azienda aveva mantenuto operativi i propri prodotti di monitoraggio delle transazioni, mettendo invece offline gli altri servizi, sottolineandone l’importanza nell’individuazione dei reati finanziari. Tale decisione è cambiata mercoledì, dopo che sono state individuate ulteriori attività sospette. Chainalysis ha coinvolto specialisti esterni in materia di sicurezza informatica e ha dichiarato di stare impiegando anche modelli linguistici avanzati su larga scala per esaminare i propri sistemi e rafforzare le difese.

L’azienda ha sottolineato che l’intrusione non era collegata al furto di criptovalute da 6,3 miliardi di dollari avvenuto la scorsa settimana presso il principale exchange Binance, che ha attirato notevole attenzione in tutto il settore. All’inizio di questa settimana, l’exchange brasiliano di criptovalute Mercado Bitcoin è stato preso di mira in un altro episodio, con l’azienda che ha dichiarato che sono state rubate circa 38 milioni di dollari in criptovalute.

Chainalysis ha esortato i clienti a prestare attenzione a comunicazioni sospette e richieste di autenticazione inaspettate, ad abilitare l’autenticazione a due fattori e a modificare le password riutilizzate su altre piattaforme. L’indagine è ancora in corso e potrebbero esserci ulteriori aggiornamenti man mano che l’azienda determina la portata completa della violazione e lavora per ripristinare i propri servizi.