Chainalysis opplyser at angriperne fikk tak i passord-hashverdier og aktive tokens for hver enkelt bruker

Chainalysis brukte en uke på å fortelle kundene at skaden var liten. Så viste det seg at det ikke var tilfelle.

I en oppdatert hendelsesmelding denne uken opplyste blockchain-analysefirmaet at navn, brukernavn, passord-hashverdier og aktive autentiseringstokener for alle brukerne hadde blitt eksponert for en angriper. WuBlockchain gjorde oppmerksom på oppdateringen på X den 6. november og la til det som svir mest: noen passord i klartekst ble også lekket, gjennom en annen angrepsmetode.

Fra «ikke-sensitiv» til alt

Chainalysis offentliggjorde saken 30. oktober. I innlegget om sikkerhetshendelsen sto det at en ekstern aktør hadde brukt «offensive agentteknikker» for å få tilgang til selskapets systemer og interne verktøy. På det tidspunktet besto de eksponerte dataene av bruker-ID-er, fulle navn, e-postadresser og rollebetegnelser i organisasjonen. Selskapet kalte dette ikke-sensitivt og sa at det ikke hadde funnet tegn til tilgang til etterforskningsinnhold, påloggingsopplysninger eller sesjonstokener. Det ble også to ganger understreket at hendelsen ikke hadde noe å gjøre med tyveriet fra Binance.

Fem dager senere falt dette bildet fra hverandre. Chainalysis opplyste at de mandag 2. november oppdaget at et større datasett hadde blitt eksponert, og Cointelegraph rapporterte at selskapet først beskrev endringen onsdag. I en separat oppdatering ble det opplyst at et «on-path-angrep» – av typen «man-in-the-middle» – hadde avslørt en delmengde av kundenes passord, ifølge BleepingComputer. Selskapet opplyser at denne angrepsvektoren nå er under kontroll.

Én dato stemmer ikke overens. Cybernews angir at oppdagelsen skjedde onsdag 4. november. Chainalysis’ egen formulering, som sitert av Cointelegraph og BleepingComputer, sier mandag.

Hva et «live token» betyr

Passord-hashverdier er kryptert og ikke lesbare, men de kan knekkes, og enhver bruker som har gjenbrukt et passord, er utsatt andre steder. «Live tokens» er den største bekymringen. Som American Banker forklarte, lar et token en person eller et program opptre som en innlogget bruker uten å skrive inn et passord. Chainalysis har ikke opplyst hva en inntrenger kunne se eller endre ved hjelp av et slikt token. Selskapet nektet også å gi Cointelegraph ytterligere informasjon utover den publiserte meldingen, og har ikke opplyst om angriperen har blitt kastet ut.

Nedleggelsen

De første som ble tatt ned, var Reactor, etterforskningsverktøyet, og Data Solutions, som overfører Chainalysis-data til kundenes egne systemer. Senere, etter å ha oppdaget unormal aktivitet, tok selskapet KYT, både grensesnittet og API-et, ut av drift, sammen med adressescreening og påloggingssiden, ifølge The Hacker News. Berørte kontoer ble låst. For noen brukere var det foreløpig ikke engang mulig å tilbakestille passordet.

Å gjenopprette tilgangen innebærer en IP-tillatelsesliste, tilbakestilling av passord og rotasjon av API-nøkler for hver bruker. KYT og adressescreening sto først i køen. Det er ikke fastsatt noen dato for når Reactor og Data Solutions skal være tilbake i drift.

For et compliance-team som screener innskudd gjennom KYT, er dette en forferdelig uke. Blant kundene er politimyndigheter, offentlige etater, banker, forsikringsselskaper og kryptovirksomheter, skriver BleepingComputer. Flere av dem mistet et sentralt screeningverktøy mens de ventet på svar.

Det viktigste

Chainalysis gjentar stadig at de ikke har bevis for at etterforskningsdata ble tilgjengeliggjort eller at attribusjonsdataene deres ble manipulert. Attribusjonsdata er det som knytter adresser til virkelige enheter, og hvis noen i all stillhet kunne redigere dem, blir hvert spor som bygger på dem mistenkelig. Så påstanden har stor vekt.

Jeg vil likevel lese det nøye. «Ingen bevis» var også selskapets holdning til påloggingsopplysninger og tokens den 30. oktober. American Banker påpekte at de mer omfattende avsløringene kom fem dager etter den uttalelsen. Det gjør ikke den nåværende påstanden falsk. Det betyr at etterforskningen fortsatt pågår.

AI-perspektivet

Chainalysis sier at de ser en bransjeomfattende økning i AI-drevne angrep. De har ikke oppgitt hvilket verktøy som ble brukt, hvor lenge angriperen var inne i systemet, eller hvilke sårbarheter som ble utnyttet. Teiss bemerket at det er uklart om angriperen brukte et rammeverk som ARTEX eller tilpassede agenter.

Det overordnede mønsteret er imidlertid reelt. The Hacker News nevner Chainstack, OpenCode, Warp og WorkOS blant selskaper som nylig har rapportert om AI-drevne angrep. Microsoft beskrev en kampanje der en agent gikk fra å skanne GitHub etter eksponerte hemmeligheter til å hente ut data fra Azure Key Vault på omtrent fem minutter. Ingenting som er offentliggjort knytter denne kampanjen til Chainalysis.

En dårlig uke for kryptosikkerheten

Tidspunktet er uheldig. Binance mistet omtrent 6,3 milliarder dollar i et sikkerhetsbrudd 29. oktober, og Chainalysis var blant selskapene som hjalp fellesskapet med å finne ut hvem som sto bak. Denne uken inndro Binance og Deribit også alle API-nøkler knyttet til handelsplattformen SignalPlus etter at den hadde rapportert om et sikkerhetsproblem. SignalPlus opplyste senere at en falsk Microsoft Teams-invitasjon kompromitterte en ingeniørs maskin og anslo tapene til under 82 000 dollar. Både Binance og Deribit opplyste at deres egne systemer ikke var berørt, og Changpeng Zhao oppfordret tradere til å tilbakekalle SignalPlus-nøkler på andre børser.

Ingen av disse hendelsene har noe med Chainalysis å gjøre. Samlet viser de i hvor stor grad sikkerheten i denne bransjen nå er avhengig av pålogginger, tokens og API-nøkler som forvaltes av tredjeparter.

Hva bør brukerne gjøre?

Chainalysis-kunder bør forvente en tvungen tilbakestilling og bytte ut alle API-nøkler som selskapet ber om. Hvis du har brukt Chainalysis-passordet ditt andre steder, må du endre det der også. Behandle alle uventede e-poster om tilbakestilling av passord eller autentiseringsforespørsler som ondsinnede – akkurat slik Chainalysis har bedt sine egne brukere om å gjøre.

Fortsatt ubesvart: hvor mange kunder som har fått kontoene sine hacket, om angriperen er ute av bildet, og når Reactor kommer tilbake.