Breșă la Chainalysis expune parole și token-uri; servicii întrerupte

În ultima sa actualizare, publicată miercuri, 4 noiembrie, la ora 23:00 ET, Chainalysis a declarat că a descoperit luni că informațiile clienților — inclusiv nume, nume de utilizator, hash-uri ale parolelor și token-uri active — au fost expuse unui actor rău intenționat. Compania a confirmat, de asemenea, activități suspecte care implică produsele sale de monitorizare a conformității, ceea ce ridică îngrijorări cu privire la amploarea mai largă a breșei de securitate.

Această dezvăluire reprezintă o escaladare semnificativă față de anunțul inițial al companiei din 30 octombrie, când Chainalysis a raportat că hackerii au accesat informații de bază ale clienților, dar a precizat că nu existau dovezi privind compromiterea datelor de autentificare sau a datelor de investigație.

Chainalysis a declarat că a scos offline platforma de monitorizare „Know Your Transaction” (KYT), inclusiv interfața cu utilizatorul și API-ul, împreună cu produsele de verificare a adreselor și pagina de autentificare. De asemenea, au fost oprite platforma de investigații Reactor, produsele Data Solutions și serviciul Chain (Beta).

Compania a declarat că a detectat activități anormale în sistemele sale de filtrare a tranzacțiilor după introducerea unor măsuri suplimentare de monitorizare. Aceasta îi notifică direct pe clienții ale căror conturi KYT par să fi fost accesate fără autorizare.

În ciuda preocupărilor crescânde legate de securitate, Chainalysis a declarat că nu a găsit dovezi că datele confidențiale de investigație au fost accesate sau că datele sale de atribuire blockchain au fost manipulate.

Compania intenționează să înceapă restabilirea accesului la KYT și Address Screening joi, 5 noiembrie, folosind un sistem care impune clienților să furnizeze adrese IP de încredere pentru o listă de permisiuni. Clienții vor putea apoi să-și reseteze parolele și să-și schimbe cheile API. Chainalysis a precizat că toți utilizatorii vor fi obligați să-și reseteze parolele și să-și schimbe cheile API, acolo unde este cazul, ca parte a procesului mai amplu de restabilire.

Un atac asistat de IA expune informațiile clienților

Chainalysis a dezvăluit pentru prima dată incidentul pe 30 octombrie, explicând că a detectat un atacator extern care a folosit ceea ce a descris drept „tehnici agentice ofensive” pentru a obține acces neautorizat la sistemele și instrumentele interne.

Terminologia sugerează că atacatorul a folosit tehnici autonome sau asistate de IA, deși compania nu a oferit o explicație tehnică privind modul în care au fost utilizate aceste metode și nici nu a identificat vulnerabilitățile exploatate inițial.

La momentul respectiv, Chainalysis a recunoscut că au fost accesate ID-urile utilizatorilor, numele complete, adresele de e-mail și informațiile privind rolurile organizaționale. Aceasta a caracterizat aceste înregistrări ca fiind nesensibile și a declarat că era în curs de a stabili câți clienți au fost afectați.

Cu toate acestea, actualizările de miercuri au dezvăluit o expunere considerabil mai gravă.

Mai devreme în cursul zilei, Chainalysis a confirmat că un „atac de tip on-path” a compromis parolele aparținând unui subgrup de clienți. Astfel de atacuri implică interceptarea comunicațiilor dintre sisteme sau utilizatori, permițând potențial atacatorilor să capteze informații sensibile.

Compania a declarat că acea metodă specifică de atac a fost izolată și remediată și a început să notifice clienții afectați că conturile lor vor fi blocate până la schimbarea parolelor.

Câteva ore mai târziu, Chainalysis a dezvăluit expunerea hash-urilor parolelor și a token-urilor active pentru toți utilizatorii, extinzând substanțial impactul potențial dincolo de grupul identificat inițial.

Compania nu a dezvăluit câți utilizatori individuali sau organizații au fost afectați, cât timp atacatorii au menținut accesul sau dacă token-urile expuse au fost utilizate pentru a compromite conturi suplimentare.

Un incident de securitate perturbă infrastructura critică din domeniul criptomonedelor

Breșa de securitate este deosebit de semnificativă, deoarece Chainalysis furnizează informații privind tehnologia blockchain și instrumente de conformitate pentru platformele de tranzacționare a criptomonedelor, instituțiile financiare, autoritățile de reglementare și agențiile de aplicare a legii.

Platforma sa Reactor ajută anchetatorii să urmărească mișcările criptomonedelor și să examineze legăturile dintre adresele blockchain, în timp ce KYT permite companiilor să monitorizeze tranzacțiile pentru a depista potențiale cazuri de spălare de bani, expunere la sancțiuni și alte activități ilicite.

Oprirea acestor sisteme ar putea perturba anchetele și operațiunile de conformitate la organizațiile care se bazează pe Chainalysis, deși compania nu a cuantificat impactul asupra clienților.

Inițial, firma a menținut în funcțiune produsele de monitorizare a tranzacțiilor, în timp ce a oprit alte servicii, invocând importanța acestora în detectarea criminalității financiare. Această decizie s-a schimbat miercuri, după ce au fost identificate activități suspecte suplimentare.

Chainalysis a angajat specialiști externi în securitate cibernetică și a declarat că utilizează, de asemenea, modele lingvistice avansate de mare capacitate pentru a-și examina sistemele și a-și consolida apărarea.

Compania a subliniat că intruziunea nu a avut nicio legătură cu furtul de criptomonede în valoare de 6,3 miliarde de dolari de săptămâna trecută de la Binance, una dintre cele mai importante platforme de tranzacționare, care a atras o atenție semnificativă în întreaga industrie. La începutul acestei săptămâni, platforma braziliană de tranzacționare a criptomonedelor Mercado Bitcoin a fost ținta unui atac separat, compania declarând că au fost furate criptomonede în valoare de aproximativ 38 de milioane de dolari.

Chainalysis a îndemnat clienții să rămână vigilenți la comunicările suspecte și la solicitările neașteptate de autentificare, să activeze autentificarea în doi pași și să schimbe parolele reutilizate pe alte platforme. Ancheta sa este încă în curs, fiind posibile dezvăluiri suplimentare pe măsură ce compania determină amploarea totală a breșei de securitate și lucrează la restabilirea serviciilor sale.