Atak na Chainalysis poważniejszy, niż zakładano. Wyciekły hasze haseł i aktywne tokeny użytkowników

Chainalysis, jedna z najbardziej rozpoznawalnych firm zajmujących się analizą transakcji w sieciach blockchain, zmaga się ze skutkami cyberataku wykrytego 30 października br. W wyniku incydentu ujawniono dane użytkowników, w tym skróty kryptograficzne haseł i aktywne tokeny. Część usług firmy została czasowo wyłączona.

W aktualizacji opublikowanej 4 listopada Chainalysis poinformowała, że wśród ujawnionych informacji znalazły się imiona i nazwiska, nazwy użytkowników, hashe haseł oraz aktywne tokeny. Firma nie sprecyzowała, czy wszystkie wymienione rodzaje danych dotyczyły każdego poszkodowanego użytkownika.

Pierwsze informacje o incydencie, przekazane 30 października, wskazywały na ujawnienie identyfikatorów użytkowników, nazwisk, adresów e-mail oraz informacji o rolach przypisanych do kont w organizacjach korzystających z platformy. Wówczas firma informowała, że nie znalazła dowodów na przejęcie danych uwierzytelniających ani tokenów sesyjnych. Kolejna aktualizacja ujawniła jednak znacznie większą skalę naruszenia.

Chainalysis przekazała również, że osobny atak typu on-path doprowadził do ujawnienia haseł części klientów. Polega on na przechwytywaniu lub ingerowaniu w komunikację pomiędzy użytkownikiem a usługą. Firma poinformowała o zabezpieczeniu tego wektora ataku, zablokowaniu kont, których mógł dotyczyć incydent, oraz wymuszeniu zmiany haseł.

Nie ujawniono natomiast, jakiego algorytmu użyto do tworzenia hashy ani jakiego rodzaju aktywne tokeny zostały przejęte. Nie wiadomo również, czy każdy rodzaj informacji został ujawniony w przypadku każdego użytkownika. Warto podkreślić, że hash nie jest hasłem zapisanym w postaci jawnej. Jego bezpieczeństwo zależy między innymi od zastosowanego algorytmu i parametrów kryptograficznych.

Chainalysis jest jednym z kluczowych dostawców rozwiązań wykorzystywanych do badania przepływów kryptowalut i identyfikowania aktywności w sieciach blockchain. Więcej o tego typu narzędziach i ich zastosowaniach pisaliśmy w tym artykule.

Część usług została wyłączona

4 listopada firma poinformowała o wykryciu anomalii, które skłoniły ją do czasowego wyłączenia kolejnych usług. Niedostępne stały się interfejs i API Know Your Transaction (KYT), narzędzie Address Screening oraz strona logowania. Wcześniej, 2 listopada, wyłączono również Reactor i Data Solutions w celu przeprowadzenia dodatkowych kontroli bezpieczeństwa.

Chainalysis przekazała, że niektóre konta KYT mogły zostać wykorzystane bez autoryzacji. Firma bezpośrednio kontaktowała się z klientami, których konta mogły zostać przejęte. Nie przedstawiła jednak dowodów wskazujących, że napastnicy uzyskali dostęp do danych dotyczących prowadzonych śledztw lub zmodyfikowali informacje o atrybucji, czyli przypisaniu określonych adresów i aktywności w blockchainie do konkretnych podmiotów.

Firma zapowiadała etapowe przywracanie dostępu do KYT i Address Screening od 5 listopada. Proces miał obejmować weryfikację zaufanych adresów IP klientów i dodawanie ich do listy dozwolonych połączeń. Po odzyskaniu dostępu użytkownicy mieli móc zmienić hasła, a w odpowiednich przypadkach również odnowić klucze API.

Nie oznaczało to jednak przywrócenia wszystkich usług. Reactor i Data Solutions nadal pozostawały niedostępne, ponieważ firma kontynuowała prace nad zabezpieczeniem infrastruktury i przywróceniem ich działania.

Firma nadal bada okoliczności incydentu

Chainalysis nie ujawniła dotąd, kto stoi za atakiem ani w jaki dokładnie sposób doszło do naruszenia bezpieczeństwa. Nie przedstawiono również szczegółowej rekonstrukcji technicznej całego incydentu.

W początkowych komunikatach pojawiło się odniesienie do technik określanych jako „offensive agentic techniques”. Samo sformułowanie nie stanowi jednak dowodu, że cyberatak przeprowadził autonomiczny agent sztucznej inteligencji. Firma nie wyjaśniła szczegółowo, jakich narzędzi użyli napastnicy ani jaką rolę odegrały w tym procesie rozwiązania AI.

Chainalysis poinformowała natomiast o zaangażowaniu zewnętrznych ekspertów ds. cyberbezpieczeństwa. Firma wykorzystuje również duże modele językowe do wspierania szerszego przeglądu zabezpieczeń swojej platformy.

Incydent jest szczególnie istotny ze względu na charakter działalności Chainalysis. Firma dostarcza rozwiązania wykorzystywane przez instytucje finansowe, przedsiębiorstwa z branży kryptowalut oraz organy ścigania do analizowania transakcji i wykrywania podejrzanej aktywności. Ujawnienie danych klientów i czasowa niedostępność części infrastruktury mogą więc mieć konsekwencje wykraczające poza samą firmę.

Chainalysis podkreśla, że nie znalazła dowodów na dostęp napastników do danych śledczych ani na manipulowanie informacjami o atrybucji. Nie oznacza to jednak, że wszystkie potencjalne skutki incydentu zostały już wykluczone. Dochodzenie i prace nad przywróceniem wszystkich usług nadal trwają.

Szczegóły dotyczące incydentu firma publikuje w swoim oficjalnym komunikacie dotyczącym naruszenia bezpieczeństwa.