Chainalysis uppger att angriparna kom över lösenordshashar och aktiva token för varje användare

Chainalysis tillbringade en vecka med att försäkra sina kunder om att skadan var liten. Men så var det inte.

I ett uppdaterat meddelande om incidenten denna vecka uppgav blockchain-analysföretaget att namn, användarnamn, lösenordshashar och aktiva autentiseringstoken för alla dess användare hade exponerats för en angripare. WuBlockchain uppmärksammade uppdateringen på X den 6 november och lade till det som svider mest: vissa lösenord i klartext läckte också ut, genom en separat attackmetod.

Från ”icke-känslig” information till allt

Chainalysis offentliggjorde händelsen den 30 oktober. I sitt inlägg om säkerhetsincidenten uppgav företaget att en extern aktör hade använt ”offensiva agenttekniker” för att ta sig in i dess system och interna verktyg. Vid den tidpunkten bestod de exponerade uppgifterna av användar-ID:n, fullständiga namn, e-postadresser och roller inom organisationen. Företaget betecknade uppgifterna som icke-känsliga och uppgav att man inte hade funnit några tecken på att utredningsinnehåll, inloggningsuppgifter eller sessionstoken hade kommit i orätta händer. Man upprepade dessutom två gånger att incidenten inte hade något samband med stölden från Binance.

Fem dagar senare rasade den bilden samman. Chainalysis uppgav att man på måndagen den 2 november upptäckt att en större mängd data hade läckt ut, och Cointelegraph rapporterade att företaget först beskrev förändringen på onsdagen. En separat uppdatering uppgav att en ”on-path-attack”, av typen man-in-the-middle, hade exponerat en delmängd av kundernas lösenord, enligt BleepingComputer. Företaget säger att den attackvektorn nu är under kontroll.

Ett datum stämmer inte överens. Cybernews anger att upptäckten gjordes onsdagen den 4 november. Chainalysis egen formulering, som citeras av Cointelegraph och BleepingComputer, anger måndagen.

Vad en live-token innebär

Lösenordshashar är krypterade och oläsbara, men de kan knäckas, och alla användare som har återanvänt ett lösenord är utsatta på andra håll. Aktiva token är det största bekymret. Som American Banker förklarade låter en token en person eller ett program agera som en inloggad användare utan att behöva ange ett lösenord. Chainalysis har inte uppgett vad en inkräktare skulle kunna se eller ändra med hjälp av en sådan. Företaget har också avböjt att ge Cointelegraph någon ytterligare information utöver det publicerade meddelandet, och har inte uppgett om angriparen har stängts ute.

Nedstängningen

De första tjänsterna som stängdes ner var Reactor, utredningsverktyget, och Data Solutions, som matar in Chainalysis-data i kundernas egna system. Senare, efter att ha upptäckt onormal aktivitet, stängde företaget ner KYT – både gränssnittet och API:et – tillsammans med adressgranskningen och inloggningssidan, enligt The Hacker News. De drabbade kontona spärrades. För vissa användare var det ännu inte ens möjligt att återställa lösenordet.

Att återställa åtkomsten innebär en IP-tillåtelselista, återställning av lösenord och rotation av API-nycklar för varje användare. KYT och adresskontrollen stod först i tur. Reactor och Data Solutions har inget datum för återupptagande.

För ett compliance-team som granskar insättningar via KYT är det en hemsk vecka. Bland kunderna finns brottsbekämpande myndigheter, statliga organ, banker, försäkringsbolag och kryptovalutaföretag, noterar BleepingComputer. Flera av dem såg ett centralt granskningsverktyg försvinna medan de väntade på svar.

Det som betyder mest

Chainalysis upprepar att man saknar bevis för att utredningsdata har kommit i orätta händer eller att företagets attributionsdata har manipulerats. Attributionsdata är det som kopplar adresser till verkliga enheter, och om någon i smyg kunde redigera den blir varje spår som bygger på den misstänkt. Påståendet väger därför tungt.

Jag skulle ändå läsa det noggrant. ”Inga bevis” var också företagets ståndpunkt angående inloggningsuppgifter och tokens den 30 oktober. American Banker påpekade att de mer omfattande avslöjandena kom fem dagar efter det uttalandet. Det gör inte det nuvarande påståendet falskt. Det betyder dock att utredningen fortfarande pågår.

AI-perspektivet

Chainalysis säger att man ser en branschomfattande ökning av AI-drivna attacker. Man har inte uppgett vilket verktyg som användes, hur länge angriparen befann sig inne i systemet eller vilka sårbarheter som utnyttjades. Teiss noterade att det är oklart om angriparen använde ett ramverk som ARTEX eller anpassade agenter.

Det övergripande mönstret är dock verkligt. The Hacker News listar Chainstack, OpenCode, Warp och WorkOS bland de företag som nyligen har rapporterat om AI-drivna attacker. Microsoft beskrev en kampanj där en agent gick från att skanna GitHub efter exponerade hemligheter till att hämta data ur Azure Key Vault på cirka fem minuter. Inget offentligt material kopplar den kampanjen till Chainalysis.

En dålig vecka för kryptosäkerheten

Tidpunkten är olycklig. Binance förlorade ungefär 6,3 miljarder dollar i ett intrång den 29 oktober, och Chainalysis var ett av de företag som hjälpte gemenskapen att ta reda på vem som låg bakom det. Den här veckan återkallade Binance och Deribit dessutom alla API-nycklar kopplade till handelsplattformen SignalPlus efter att den rapporterat ett säkerhetsproblem. SignalPlus uppgav senare att en falsk inbjudan till Microsoft Teams komprometterade en ingenjörs dator och att förlusterna uppgick till mindre än 82 000 dollar. Både Binance och Deribit uppgav att deras egna system inte påverkades, och Changpeng Zhao uppmanade handlare att återkalla SignalPlus-nycklar på andra börser.

Ingen av dessa incidenter har någon koppling till Chainalysis. Tillsammans visar de hur stor del av branschens säkerhet numera bygger på inloggningar, tokens och API-nycklar som innehas av tredje part.

Vad bör användarna göra?

Chainalysis-kunder bör räkna med en tvingad återställning och byta ut alla API-nycklar som företaget efterfrågar. Om du har använt ditt Chainalysis-lösenord någon annanstans, byt ut det där också. Betrakta alla oväntade e-postmeddelanden om lösenordsåterställning eller autentiseringsförfrågningar som fientliga – vilket är precis vad Chainalysis uppmanade sina egna användare att göra.

Fortfarande obesvarat: hur många kunder som fått sina konton komprometterade, om angriparen är ute ur bilden och när Reactor kommer tillbaka.