Компанія Chainalysis повідомляє, що зловмисники отримали хеші паролів та активні токени кожного користувача

Компанія Chainalysis цілий тиждень запевняла клієнтів, що збитки були незначними. Але виявилося, що це не так.

У оновленому повідомленні про інцидент, опублікованому цього тижня, компанія з аналізу блокчейнів заявила, що імена, імена користувачів, хеші паролів та активні токени автентифікації всіх її користувачів потрапили до рук зловмисника. 6 листопада WuBlockchain звернув увагу на це оновлення на X і додав найболючішу частину: через окремий метод атаки також витекли деякі паролі у вигляді відкритого тексту.

Від «неконфіденційної» інформації до всього

Chainalysis оприлюднила інформацію 30 жовтня. У повідомленні про інцидент безпеки йшлося про те, що зовнішній зловмисник використав «агресивні агентські техніки», щоб проникнути в її системи та внутрішні інструменти. На той момент викритими даними були ідентифікатори користувачів, повні імена, адреси електронної пошти та позначення ролей в організаціях. Компанія назвала ці дані неконфіденційними та заявила, що не виявила жодних ознак доступу до матеріалів розслідувань, облікових даних або токенів сеансів. Вона також двічі наголосила, що цей інцидент не мав жодного стосунку до крадіжки на Binance.

Через п’ять днів ця картина розвалилася. Chainalysis повідомила, що у понеділок, 2 листопада, виявила витік більш широкого набору даних, а Cointelegraph повідомив, що компанія вперше описала цю зміну в середу. Згідно з BleepingComputer, в окремому повідомленні йшлося про те, що внаслідок «атаки на шляху передачі даних» (типу «людина посередині») було викрадено частину паролів клієнтів. Компанія заявляє, що цей вектор атаки наразі локалізовано.

Одна дата не збігається. Cybernews вказує, що виявлення відбулося в середу, 4 листопада. У власному повідомленні Chainalysis, яке цитують Cointelegraph та BleepingComputer, вказано понеділок.

Що означає «активний токен»

Хеші паролів зашифровані, їх неможливо прочитати, але їх можна зламати, і будь-який користувач, який повторно використовував пароль, наражається на ризик в інших системах. Більше занепокоєння викликають «активні токени». Як пояснило видання American Banker, токен дозволяє людині або програмі діяти як користувач, що увійшов у систему, без введення пароля. Chainalysis не повідомила, що саме зловмисник міг бачити або змінювати за допомогою такого токена. Компанія також відмовилася надати Cointelegraph будь-яку інформацію, окрім опублікованого повідомлення, і не повідомила, чи було зловмисника вилучено з системи.

Припинення роботи

Першими припинили роботу Reactor — інструмент для розслідувань — та Data Solutions, який передає дані Chainalysis у власні системи клієнтів. Пізніше, виявивши аномальну активність, компанія відключила KYT — як інтерфейс, так і API — разом із функцією перевірки адрес та сторінкою входу, як повідомляє The Hacker News. Уражені облікові записи було заблоковано. Для деяких користувачів навіть скидання пароля поки що було неможливим.

Відновлення доступу передбачає створення білого списку IP-адрес, скидання паролів та ротацію API-ключів для кожного користувача. Першими на черзі були KYT та перевірка адрес. Щодо Reactor та Data Solutions дата відновлення роботи поки що невідома.

Для команди з дотримання нормативних вимог, яка перевіряє депозити за допомогою KYT, це був жахливий тиждень. Серед клієнтів — правоохоронні органи, урядові установи, банки, страхові компанії та криптобізнеси, зазначає BleepingComputer. У декількох із них зник основний інструмент перевірки, поки вони чекали на відповіді.

Найважливіша лінія

Chainalysis продовжує стверджувати, що не має доказів того, що хтось отримав доступ до даних розслідування або що її атрибуційні дані були підроблені. Атрибуційні дані — це те, що пов’язує адреси з реальними суб’єктами, і якщо хтось міг непомітно їх редагувати, то кожен слід, побудований на їхній основі, стає підозрілим. Тож це твердження має велику вагу.

Я б все одно прочитав це уважно. «Відсутність доказів» — такою була позиція компанії щодо облікових даних і токенів ще 30 жовтня. American Banker зазначив, що більш детальне розкриття інформації відбулося через п’ять днів після цієї заяви. Це не робить нинішню заяву неправдивою. Це означає, що розслідування все ще триває.

Аспект штучного інтелекту

Chainalysis зазначає, що спостерігає зростання кількості атак на основі штучного інтелекту в усій галузі. Компанія не повідомила, який саме інструмент було використано, як довго зловмисник перебував у системі або які вразливості було використано. Тейсс зазначив, що незрозуміло, чи використовував зловмисник фреймворк на кшталт ARTEX, чи власні агенти.

Проте загальна тенденція є реальною. The Hacker News наводить Chainstack, OpenCode, Warp та WorkOS серед компаній, які нещодавно повідомили про атаки на основі штучного інтелекту. Microsoft описала одну кампанію, під час якої агент за приблизно п’ять хвилин перейшов від сканування GitHub у пошуках відкритих секретних даних до вилучення даних із Azure Key Vault. Жодних публічних даних, що пов’язують цю кампанію з Chainalysis, немає.

Несприятливий тиждень для безпеки криптовалют

Час для цього обрано невдало. 29 жовтня Binance втратила приблизно 6,3 млрд доларів внаслідок злом, і Chainalysis була серед компаній, які допомагали спільноті з’ясувати, хто стоїть за цим. Цього тижня Binance та Deribit також анулювали всі API-ключі, пов’язані з торговою платформою SignalPlus, після того як та повідомила про проблему з безпекою. Пізніше SignalPlus повідомила, що підроблене запрошення в Microsoft Teams призвело до компрометації комп’ютера інженера, а збитки склали менше 82 000 доларів. Binance та Deribit заявили, що їхні власні системи не постраждали, а Чанпен Чжао закликав трейдерів анулювати ключі SignalPlus на інших біржах.

Жоден із цих інцидентів не пов’язаний із Chainalysis. Разом вони демонструють, наскільки безпека цієї галузі зараз залежить від облікових записів, токенів та API-ключів, що перебувають у володінні третіх сторін.

Що слід робити користувачам?

Клієнтам Chainalysis слід очікувати примусового скидання пароля та змінити всі API-ключі, про які запитає компанія. Якщо ви використовували свій пароль Chainalysis десь ще, змініть його й там. Ставтеся до будь-якого несподіваного листа про скидання пароля або запиту на автентифікацію як до загрози — саме так Chainalysis і порадила своїм користувачам.

Досі залишаються без відповіді такі питання: до скількох облікових записів клієнтів отримали доступ зловмисники, чи зник зловмисник і коли Reactor відновить роботу.