Inbreuk bij Chainalysis lekt wachtwoorden en tokens; diensten moeten stilgelegd

In zijn laatste update, gepubliceerd op woensdag 4 november om 23.00 uur ET, meldde Chainalysis dat het maandag had ontdekt dat klantgegevens – waaronder namen, gebruikersnamen, wachtwoord-hashes en actieve tokens – waren blootgesteld aan een kwaadwillende partij. Het bedrijf bevestigde ook verdachte activiteiten met betrekking tot zijn producten voor nalevingsmonitoring, wat zorgen oproept over de bredere omvang van het datalek.

Deze bekendmaking betekent een aanzienlijke verscherping ten opzichte van de eerste aankondiging van het bedrijf op 30 oktober, toen Chainalysis meldde dat hackers toegang hadden gekregen tot basisgegevens van klanten, maar aangaf dat er geen aanwijzingen waren dat authenticatiegegevens of onderzoeksgegevens waren gecompromitteerd.

Chainalysis meldde dat het zijn Know Your Transaction (KYT)-monitoringplatform nu offline heeft gehaald, inclusief de gebruikersinterface en API, evenals de producten voor het screenen van adressen en de inlogpagina. Ook het Reactor-onderzoeksplatform, de Data Solutions-producten en de Chain (Beta)-dienst zijn buiten gebruik gesteld.

Het bedrijf zei dat het abnormale activiteiten in zijn transactiescreeningsystemen had gedetecteerd na de invoering van aanvullende monitoringmaatregelen. Het brengt klanten waarvan de KYT-accounts zonder toestemming lijken te zijn geraadpleegd, rechtstreeks op de hoogte.

Ondanks de toenemende bezorgdheid over de beveiliging heeft Chainalysis aangegeven geen bewijs te hebben gevonden dat er toegang is verkregen tot vertrouwelijke onderzoeksgegevens of dat de blockchain-attributiegegevens zijn gemanipuleerd.

Het bedrijf is van plan om op donderdag 5 november te beginnen met het herstellen van de toegang tot KYT en Address Screening, met behulp van een systeem waarbij klanten vertrouwde IP-adressen moeten opgeven voor een allowlist. Klanten kunnen dan hun wachtwoorden opnieuw instellen en API-sleutels vernieuwen. Chainalysis heeft aangegeven dat alle gebruikers hun wachtwoorden opnieuw moeten instellen en, waar nodig, hun API-sleutels moeten vernieuwen als onderdeel van het bredere herstelproces.

Door AI ondersteunde aanval legt klantgegevens bloot

Chainalysis maakte het incident voor het eerst bekend op 30 oktober en legde uit dat het een externe aanvaller had gedetecteerd die gebruikmaakte van wat het omschreef als „offensieve agentische technieken“ om ongeoorloofde toegang te verkrijgen tot interne systemen en tools.

De terminologie suggereert dat de aanvaller autonome of door AI ondersteunde technieken heeft ingezet, hoewel het bedrijf geen technische uitleg heeft gegeven over hoe die methoden werden gebruikt, noch heeft aangegeven welke kwetsbaarheden aanvankelijk werden misbruikt.

Op dat moment erkende Chainalysis dat er toegang was verkregen tot gebruikers-ID’s, volledige namen, e-mailadressen en informatie over functies binnen organisaties. Het bedrijf bestempelde deze gegevens als niet-gevoelig en zei bezig te zijn vast te stellen hoeveel klanten hierdoor waren getroffen.

Uit de updates van woensdag bleek echter dat de blootstelling aanzienlijk ernstiger was.

Eerder op de dag bevestigde Chainalysis dat een „on-path-aanval“ de wachtwoorden van een deel van de klanten had gecompromitteerd. Bij dergelijke aanvallen wordt de communicatie tussen systemen of gebruikers onderschept, waardoor aanvallers mogelijk gevoelige informatie kunnen bemachtigen.

Het bedrijf verklaarde dat deze specifieke aanvalsmethode was ingeperkt en verholpen, en begon de getroffen klanten te informeren dat hun accounts zouden worden geblokkeerd totdat de wachtwoorden waren gewijzigd.

Enkele uren later maakte Chainalysis bekend dat de wachtwoord-hashes en live-tokens van alle gebruikers waren blootgesteld, waardoor de potentiële impact aanzienlijk groter werd dan de aanvankelijk geïdentificeerde groep.

Het bedrijf heeft niet bekendgemaakt hoeveel individuele gebruikers of organisaties zijn getroffen, hoe lang de aanvallers toegang hebben gehad, of dat de blootgestelde tokens zijn gebruikt om nog meer accounts te compromitteren.

Beveiligingsincident verstoort cruciale crypto-infrastructuur

Het beveiligingslek is bijzonder ingrijpend omdat Chainalysis blockchain-informatie en compliance-tools levert aan cryptocurrency-beurzen, financiële instellingen, toezichthouders en wetshandhavingsinstanties.

Het Reactor-platform helpt onderzoekers bij het traceren van cryptocurrency-bewegingen en het onderzoeken van verbanden tussen blockchain-adressen, terwijl KYT bedrijven in staat stelt transacties te monitoren op mogelijke witwaspraktijken, blootstelling aan sancties en andere illegale activiteiten.

Het stilleggen van deze systemen zou onderzoeken en compliance-activiteiten kunnen verstoren bij organisaties die afhankelijk zijn van Chainalysis, hoewel het bedrijf de impact op klanten nog niet heeft gekwantificeerd.

Het bedrijf hield aanvankelijk zijn producten voor transactiemonitoring in bedrijf terwijl andere diensten offline werden gehaald, daarbij verwijzend naar het belang ervan bij het opsporen van financiële criminaliteit. Dat besluit werd woensdag gewijzigd nadat er nog meer verdachte activiteiten waren vastgesteld.

Chainalysis heeft externe cyberbeveiligingsspecialisten ingeschakeld en zei dat het ook geavanceerde grote taalmodellen inzet om zijn systemen te onderzoeken en de beveiliging te versterken.

Het bedrijf benadrukte dat de inbraak geen verband hield met de cryptodiefstal van 6,3 miljard dollar vorige week bij de toonaangevende beurs Binance, die in de hele sector veel aandacht heeft getrokken. Eerder deze week werd de Braziliaanse cryptobeurs Mercado Bitcoin afzonderlijk het doelwit; het bedrijf meldde dat er ongeveer 38 miljoen dollar aan cryptovaluta was gestolen.

Chainalysis heeft klanten opgeroepen alert te blijven op verdachte berichten en onverwachte authenticatieverzoeken, tweefactorauthenticatie in te schakelen en wachtwoorden te wijzigen die ook op andere platforms worden gebruikt. Het onderzoek loopt nog, en er kunnen nog meer details volgen naarmate het bedrijf de volledige omvang van de inbreuk vaststelt en werkt aan het herstel van zijn diensten.