Vazamento na Chainalysis expõe senhas e tokens de usuários e interrompe serviços

Em sua última atualização, publicada na quarta-feira, 4 de novembro, às 23h (horário da costa leste dos EUA), a Chainalysis informou ter descoberto na segunda-feira que informações de clientes — incluindo nomes, nomes de usuário, hashes de senhas e tokens ativos — haviam sido expostas a um agente mal-intencionado. A empresa também confirmou atividades suspeitas envolvendo seus produtos de monitoramento de conformidade, o que levantou preocupações sobre o alcance mais amplo da violação.

A divulgação representa um agravamento significativo em relação ao anúncio inicial da empresa, de 30 de outubro, quando a Chainalysis informou que hackers haviam acessado informações básicas dos clientes, mas afirmou que não havia evidências de credenciais de autenticação comprometidas ou de dados de investigação.

A Chainalysis informou que, neste momento, colocou sua plataforma de monitoramento “Know Your Transaction” (KYT) fora do ar, incluindo sua interface de usuário e API, juntamente com os produtos de triagem de endereços e sua página de login. Sua plataforma de investigação Reactor, os produtos Data Solutions e o serviço Chain (Beta) também foram desativados.

A empresa informou ter detectado atividades anormais em seus sistemas de triagem de transações após a introdução de medidas adicionais de monitoramento. Ela está notificando diretamente os clientes cujas contas KYT parecem ter sido acessadas sem autorização.

Apesar das crescentes preocupações com a segurança, a Chainalysis afirmou não ter encontrado evidências de que dados confidenciais de investigação tenham sido acessados ou de que seus dados de atribuição de blockchain tenham sido manipulados.

A empresa planeja começar a restaurar o acesso ao KYT e à triagem de endereços na quinta-feira, 5 de novembro, utilizando um sistema que exige que os clientes forneçam endereços IP confiáveis para uma lista de permissões. Os clientes poderão então redefinir senhas e alternar chaves de API. A Chainalysis informou que todos os usuários deverão redefinir suas senhas e alternar chaves de API, quando apropriado, como parte do processo mais amplo de restauração.

Ataque assistido por IA expõe informações de clientes

A Chainalysis divulgou o incidente pela primeira vez em 30 de outubro, explicando que havia detectado um invasor externo utilizando o que descreveu como “técnicas ofensivas de agente” para obter acesso não autorizado a sistemas e ferramentas internas.

A terminologia sugere que o invasor empregou técnicas autônomas ou assistidas por IA, embora a empresa não tenha fornecido uma explicação técnica sobre como esses métodos foram utilizados nem identificado as vulnerabilidades inicialmente exploradas.

Na ocasião, a Chainalysis reconheceu que IDs de usuários, nomes completos, endereços de e-mail e informações sobre funções organizacionais haviam sido acessados. Ela classificou esses registros como não confidenciais e afirmou que estava determinando quantos clientes foram afetados.

No entanto, as atualizações divulgadas na quarta-feira revelaram uma exposição consideravelmente mais grave.

No início do dia, a Chainalysis confirmou que um “ataque on-path” havia comprometido senhas pertencentes a um subconjunto de clientes. Esses ataques envolvem a interceptação de comunicações entre sistemas ou usuários, permitindo potencialmente que os invasores capturem informações confidenciais.

A empresa informou que esse método específico de ataque havia sido contido e corrigido, e começou a notificar os clientes afetados de que suas contas ficariam bloqueadas até que as senhas fossem alteradas.

Horas depois, a Chainalysis divulgou a exposição de hashes de senhas e tokens ativos de todos os usuários, ampliando substancialmente o impacto potencial para além do grupo inicialmente identificado.

A empresa não divulgou quantos usuários individuais ou organizações foram afetados, por quanto tempo os invasores mantiveram o acesso, nem se os tokens expostos foram usados para comprometer outras contas.

Incidente de segurança perturba infraestrutura crítica de criptomoedas

A violação é particularmente significativa porque a Chainalysis fornece inteligência de blockchain e ferramentas de conformidade para corretoras de criptomoedas, instituições financeiras, órgãos reguladores e órgãos de segurança pública.

Sua plataforma Reactor ajuda investigadores a rastrear movimentos de criptomoedas e examinar conexões entre endereços de blockchain, enquanto o KYT permite que as empresas monitorem transações em busca de possíveis casos de lavagem de dinheiro, exposição a sanções e outras atividades ilícitas.

A interrupção desses sistemas pode prejudicar investigações e operações de conformidade em organizações que dependem da Chainalysis, embora a empresa não tenha quantificado o impacto sobre os clientes.

Inicialmente, a empresa manteve seus produtos de monitoramento de transações em operação enquanto tirava outros serviços do ar, citando sua importância na detecção de crimes financeiros. Essa decisão mudou na quarta-feira, após a identificação de atividades suspeitas adicionais.

A Chainalysis contratou especialistas externos em segurança cibernética e afirmou que também está empregando modelos avançados de linguagem de grande escala para examinar seus sistemas e fortalecer as defesas.

A empresa enfatizou que a invasão não teve relação com o roubo de criptomoedas no valor de US$ 6,3 bilhões ocorrido na semana passada na Binance, uma das principais corretoras, o que chamou bastante atenção em todo o setor. No início desta semana, a corretora brasileira de criptomoedas Mercado Bitcoin foi alvo de um ataque separado, e a empresa informou que cerca de US$ 38 milhões em criptomoedas foram roubados.

A Chainalysis pediu aos clientes que permaneçam alertas a comunicações suspeitas e solicitações inesperadas de autenticação, ativem a autenticação de dois fatores e alterem senhas reutilizadas em outras plataformas. A investigação continua em andamento, com possíveis divulgações adicionais à medida que a empresa determina a extensão total da violação e trabalha para restaurar seus serviços.