Wyciek danych w Chainalysis ujawnił hasła i tokeny wszystkich użytkowników; wyłączono usługi

W najnowszej aktualizacji, opublikowanej w środę, 4 listopada, o godz. 23:00 czasu wschodnioamerykańskiego (ET), firma Chainalysis poinformowała, że w poniedziałek odkryła, iż dane klientów — w tym imiona i nazwiska, nazwy użytkowników, skróty haseł oraz aktywne tokeny — zostały ujawnione złośliwemu podmiotowi. Firma potwierdziła również podejrzaną aktywność związaną z jej produktami do monitorowania zgodności, co budzi obawy co do szerszego zakresu naruszenia.

Ujawnione informacje stanowią znaczące zaostrzenie sytuacji w stosunku do pierwotnego komunikatu firmy z 30 października, kiedy to Chainalysis poinformowała, że hakerzy uzyskali dostęp do podstawowych danych klientów, ale stwierdziła, że nie ma dowodów na naruszenie danych uwierzytelniających ani danych śledczych.

Chainalysis poinformowała, że wyłączyła obecnie swoją platformę monitorującą Know Your Transaction (KYT), w tym interfejs użytkownika i API, a także produkty do weryfikacji adresów oraz stronę logowania. Wyłączono również platformę śledczą Reactor, produkty Data Solutions oraz usługę Chain (Beta).

Firma poinformowała, że po wprowadzeniu dodatkowych środków monitorowania wykryła nietypową aktywność w swoich systemach weryfikacji transakcji. Bezpośrednio powiadamia klientów, do których kont KYT najprawdopodobniej uzyskano dostęp bez upoważnienia.

Pomimo narastających obaw dotyczących bezpieczeństwa firma Chainalysis oświadczyła, że nie znalazła dowodów na to, że uzyskano dostęp do poufnych danych śledczych lub że manipulowano danymi dotyczącymi atrybucji w łańcuchu bloków.

Firma planuje przywrócić dostęp do usług KYT i Address Screening w czwartek, 5 listopada, korzystając z systemu wymagającego od klientów podania zaufanych adresów IP do listy dozwolonych. Klienci będą wówczas mogli zresetować hasła i odświeżyć klucze API. Chainalysis poinformowała, że w ramach szerszego procesu przywracania dostępu wszyscy użytkownicy będą musieli zresetować swoje hasła i odświeżyć klucze API, jeśli będzie to konieczne.

Atak z wykorzystaniem sztucznej inteligencji ujawnia dane klientów

Firma Chainalysis po raz pierwszy ujawniła ten incydent 30 października, wyjaśniając, że wykryła zewnętrznego atakującego wykorzystującego tak zwane „ofensywne techniki agentowe” w celu uzyskania nieuprawnionego dostępu do wewnętrznych systemów i narzędzi.

Terminologia ta sugeruje, że atakujący zastosował techniki autonomiczne lub wspomagane przez sztuczną inteligencję, chociaż firma nie przedstawiła technicznego wyjaśnienia, w jaki sposób metody te zostały wykorzystane, ani nie zidentyfikowała luk w zabezpieczeniach, które zostały początkowo wykorzystane.

W tamtym czasie firma Chainalysis potwierdziła, że uzyskano dostęp do identyfikatorów użytkowników, pełnych imion i nazwisk, adresów e-mail oraz informacji o pełnionych rolach organizacyjnych. Określiła te dane jako niewrażliwe i poinformowała, że ustala, ilu klientów zostało dotkniętych tym incydentem.

Jednak środowe aktualizacje ujawniły znacznie poważniejsze naruszenie bezpieczeństwa.

Wcześniej tego samego dnia firma Chainalysis potwierdziła, że w wyniku „ataku typu on-path” doszło do ujawnienia haseł należących do części klientów. Ataki tego typu polegają na przechwytywaniu komunikacji między systemami lub użytkownikami, co potencjalnie umożliwia atakującym zdobycie poufnych informacji.

Firma poinformowała, że ta konkretna metoda ataku została powstrzymana i usunięta, a także rozpoczęła powiadamianie poszkodowanych klientów, że ich konta zostaną zablokowane do czasu zmiany haseł.

Kilka godzin później firma Chainalysis ujawniła, że doszło do wycieku skrótów haseł i aktywnych tokenów wszystkich użytkowników, co znacznie rozszerzyło potencjalny zasięg incydentu poza pierwotnie zidentyfikowaną grupę.

Firma nie ujawniła, ilu użytkowników indywidualnych lub organizacji zostało dotkniętych incydentem, jak długo atakujący mieli dostęp do systemu ani czy ujawnione tokeny zostały wykorzystane do przejęcia kolejnych kont.

Incydent bezpieczeństwa zakłóca działanie kluczowej infrastruktury kryptowalutowej

Naruszenie ma szczególne znaczenie, ponieważ Chainalysis dostarcza narzędzia do analizy danych z łańcucha bloków oraz zapewniania zgodności z przepisami dla giełd kryptowalut, instytucji finansowych, organów regulacyjnych i organów ścigania.

Platforma Reactor pomaga śledczym śledzić przepływy kryptowalut i badać powiązania między adresami w łańcuchu bloków, natomiast rozwiązanie KYT umożliwia przedsiębiorstwom monitorowanie transakcji pod kątem potencjalnego prania pieniędzy, narażenia na sankcje oraz innych nielegalnych działań.

Wyłączenie tych systemów może zakłócić dochodzenia i działania związane z zapewnieniem zgodności z przepisami w organizacjach korzystających z usług Chainalysis, chociaż firma nie oszacowała jeszcze wpływu tego zdarzenia na klientów.

Początkowo firma utrzymała działanie produktów do monitorowania transakcji, wyłączając jednocześnie inne usługi, powołując się na ich znaczenie w wykrywaniu przestępstw finansowych. Decyzja ta uległa zmianie w środę po wykryciu dodatkowej podejrzanej aktywności.

Chainalysis zatrudniła zewnętrznych specjalistów ds. cyberbezpieczeństwa i poinformowała, że wykorzystuje również zaawansowane modele językowe do analizy swoich systemów i wzmocnienia zabezpieczeń.

Firma podkreśliła, że włamanie nie miało związku z kradzieżą kryptowalut o wartości 6,3 mld dolarów, do której doszło w zeszłym tygodniu na wiodącej giełdzie Binance i która wzbudziła duże zainteresowanie w całej branży. Na początku tego tygodnia celem ataku stała się brazylijska giełda kryptowalut Mercado Bitcoin; firma poinformowała, że skradziono kryptowaluty o wartości około 38 mln dolarów.

Chainalysis wezwała klientów do zachowania czujności w przypadku podejrzanych wiadomości i nieoczekiwanych próśb o uwierzytelnienie, włączenia uwierzytelniania dwuskładnikowego oraz zmiany haseł używanych również na innych platformach. Dochodzenie w tej sprawie nadal trwa, a możliwe jest ujawnienie dodatkowych informacji w miarę jak firma ustala pełny zakres naruszenia i pracuje nad przywróceniem swoich usług.