Злом Chainalysis: витік паролів і токенів усіх користувачів, сервіс призупинено

У своєму останньому оновленні, опублікованому в середу, 4 листопада, о 23:00 за східним часом, Chainalysis повідомила, що в понеділок виявила, що інформація про клієнтів — зокрема імена, імена користувачів, хеші паролів та діючі токени — потрапила до рук зловмисника. Компанія також підтвердила підозрілу активність, пов’язану з її продуктами для моніторингу дотримання нормативних вимог, що викликає занепокоєння щодо більш широкого масштабу порушення.

Ця інформація свідчить про значне погіршення ситуації порівняно з першим повідомленням компанії від 30 жовтня, коли Chainalysis повідомила, що хакери отримали доступ до базової інформації про клієнтів, але зазначила, що немає доказів витоку облікових даних для аутентифікації або даних розслідувань.

Chainalysis повідомила, що наразі відключила свою платформу моніторингу Know Your Transaction (KYT), включаючи її користувацький інтерфейс та API, а також продукти для перевірки адрес і сторінку входу. Також було відключено платформу розслідувань Reactor, продукти Data Solutions та сервіс Chain (Beta).

Компанія повідомила, що виявила аномальну активність у своїх системах перевірки транзакцій після впровадження додаткових заходів моніторингу. Вона безпосередньо повідомляє клієнтів, до облікових записів KYT яких, судячи з усього, було отримано несанкціонований доступ.

Незважаючи на посилення занепокоєння щодо безпеки, Chainalysis заявила, що не виявила доказів того, що до конфіденційних даних розслідувань було отримано доступ або що її дані про атрибуцію блокчейну були підроблені.

Компанія планує розпочати відновлення доступу до KYT та Address Screening у четвер, 5 листопада, використовуючи систему, яка вимагатиме від клієнтів надати надійні IP-адреси для внесення до списку дозволених. Після цього клієнти зможуть змінити паролі та оновити ключі API. Chainalysis зазначила, що в рамках загального процесу відновлення всім користувачам буде необхідно змінити свої паролі та оновити ключі API, де це доречно.

Атака з використанням штучного інтелекту призвела до витоку інформації про клієнтів

Chainalysis вперше повідомила про інцидент 30 жовтня, пояснивши, що виявила зовнішнього зловмисника, який використовував так звані «наступальні агентські техніки» для отримання несанкціонованого доступу до внутрішніх систем та інструментів.

Ця термінологія наводить на думку, що зловмисник застосовував автономні або підкріплені штучним інтелектом методи, хоча компанія не надала технічного пояснення щодо того, як саме ці методи використовувалися, та не визначила вразливості, якими спочатку скористалися зловмисники.

На той момент Chainalysis визнала, що зловмисник отримав доступ до ідентифікаторів користувачів, повних імен, адрес електронної пошти та інформації про посади в організаціях. Вона охарактеризувала ці записи як неконфіденційні та зазначила, що визначає, скільки клієнтів постраждало.

Однак оновлення, опубліковані в середу, виявили значно серйознішу загрозу.

Раніше того ж дня Chainalysis підтвердила, що «атака на шляху передачі даних» призвела до витоку паролів частини клієнтів. Такі атаки передбачають перехоплення обміну даними між системами або користувачами, що потенційно дозволяє зловмисникам отримати доступ до конфіденційної інформації.

Компанія заявила, що цей конкретний метод атаки було локалізовано та усунуто, і вона почала повідомляти постраждалих клієнтів про те, що їхні облікові записи будуть заблоковані до зміни паролів.

Через кілька годин Chainalysis повідомила про витік хеш-значень паролів та активних токенів усіх користувачів, що суттєво розширило потенційний масштаб впливу за межі спочатку визначеної групи.

Компанія не повідомила, скільки саме користувачів або організацій постраждало, як довго зловмисники мали доступ до системи, а також чи використовувалися викрадені токени для злому інших облікових записів.

Інцидент з безпекою порушує роботу критично важливої криптоінфраструктури

Цей злом є особливо значущим, оскільки Chainalysis надає аналітику блокчейну та інструменти забезпечення відповідності вимогам криптовалютним біржам, фінансовим установам, регуляторним органам та правоохоронним органам.

Її платформа Reactor допомагає слідчим відстежувати рухи криптовалют та досліджувати зв’язки між адресами блокчейну, тоді як KYT дозволяє підприємствам моніторити транзакції на предмет потенційного відмивання грошей, порушення санкцій та іншої незаконної діяльності.

Припинення роботи цих систем може порушити хід розслідувань та операцій із забезпечення дотримання нормативних вимог в організаціях, які покладаються на Chainalysis, хоча компанія не оцінила масштаб впливу на клієнтів.

Спочатку компанія залишила в роботі свої продукти для моніторингу транзакцій, відключивши інші сервіси, посилаючись на їхню важливість у виявленні фінансових злочинів. Це рішення змінилося в середу після виявлення додаткової підозрілої активності.

Chainalysis залучила зовнішніх фахівців з кібербезпеки та заявила, що також використовує передові великі мовні моделі для аналізу своїх систем та посилення захисту.

Компанія наголосила, що це вторгнення не пов’язане з крадіжкою криптовалюти на суму 6,3 млрд доларів, що сталася минулого тижня на провідній біржі Binance і привернула значну увагу в усій галузі. Раніше цього тижня окремою ціллю атаки стала бразильська криптовалютна біржа Mercado Bitcoin; за даними компанії, було викрадено криптовалюти на суму близько 38 млн доларів.

Chainalysis закликала клієнтів бути пильними щодо підозрілих повідомлень та несподіваних запитів на автентифікацію, увімкнути двофакторну автентифікацію та змінити паролі, які використовуються на інших платформах. Розслідування триває, і можливі додаткові повідомлення, оскільки компанія визначає повний масштаб порушення та працює над відновленням своїх послуг.