Firma analityczna blockchain Chainalysis potwierdziła, że hakerzy ujawnili hasła i aktywne tokeny należące do jej użytkowników podczas cyberataku, który zmusił kilka jej usług śledczych i monitorowania transakcji do przejścia w tryb offline.
Podsumowanie
- Chainalysis potwierdziła, że nazwiska klientów, nazwy użytkowników, hasła i aktywne tokeny należące do wszystkich użytkowników zostały ujawnione złośliwemu podmiotowi podczas cyberataku.
- Firma wyłączyła KYT, Reactor, Data Solutions i inne produkty do weryfikacji po wykryciu podejrzanej aktywności, przy czym do niektórych kont klientów mogło dojść nieautoryzowane dostępy.
- Chainalysis zidentyfikowała atak typu on-path, który ujawnił podzbiór haseł klientów, i stwierdziła, że metoda ataku została od tego czasu powstrzymana i naprawiona.
- Klienci będą musieli zresetować hasła i w odpowiednich przypadkach wymienić klucze API, podczas gdy Chainalysis pracuje nad przywróceniem dostępu poprzez zatwierdzone adresy IP.
Zgodnie z aktualizacją bezpieczeństwa z 4 listopada, firma odkryła, że informacje o klientach, w tym nazwiska, nazwy użytkowników, hasła i aktywne tokeny wszystkich użytkowników Chainalysis, zostały ujawnione złośliwemu podmiotowi.
Najnowsze ujawnienie rozszerza oświadczenie z 30 października, w którym Chainalysis początkowo poinformowała, że uzyskano dostęp do pewnych danych profilowych klientów, ale stwierdziła, że nie znalazła dowodów na naruszenie danych uwierzytelniających ani tokenów sesji.
Chainalysis stwierdziła, że nadal nie ma dowodów na to, że podczas incydentu uzyskano dostęp do danych śledczych lub że jej dane przypisania blockchain zostały zmanipulowane.
Cyberatak na Chainalysis ujawnia hasła i aktywne tokeny
Incydent bezpieczeństwa został po raz pierwszy ujawniony 30 października, po tym jak Chainalysis wykryła zewnętrznego atakującego wykorzystującego to, co określiła jako „ofensywne techniki agentowe”, do uzyskania nieautoryzowanego dostępu do swoich systemów i narzędzi wewnętrznych.
Jej wstępne dochodzenie zidentyfikowało ujawnione identyfikatory użytkowników, adresy e-mail, pełne nazwiska i role organizacyjne, podczas gdy firma pracowała nad ustaleniem, które rekordy klientów zostały dotknięte.
Do 4 listopada śledczy zidentyfikowali inną metodę ataku polegającą na przechwytywaniu haseł klientów.
W e-mailu wysłanym do niektórych dotkniętych użytkowników Chainalysis opisała incydent jako „trwający wielofrontowy cyberatak” i potwierdziła, że „atak typu on-path” ujawnił podzbiór haseł klientów.
Atak typu on-path pozwala intruzowi przechwytywać komunikację między użytkownikiem a usługą. Chainalysis stwierdziła, że powstrzymała i naprawiła metodę ataku oraz że w ramach środków ostrożności blokuje dotknięte konta.
Ujawnienie haseł i aktywnych tokenów stwarza odrębne obawy dotyczące bezpieczeństwa. Hasła to przechowywane reprezentacje haseł, podczas gdy aktywne tokeny uwierzytelniające mogą potencjalnie zapewnić dostęp do usług bez konieczności ponownego wprowadzania przez użytkowników haseł.
Chainalysis nie ujawniła metody hashowania użytej do ochrony haseł ani nie określiła rodzaju zaangażowanych aktywnych tokenów.
Firma zaangażowała zewnętrznych specjalistów ds. cyberbezpieczeństwa do zbadania włamania i wzmocnienia swoich systemów, przy czym duże modele językowe są wykorzystywane do wspierania jej wewnętrznego przeglądu bezpieczeństwa.
Chainalysis zawiesza usługi KYT i Reactor po podejrzanej aktywności
Naruszenie zmusiło Chainalysis do zawieszenia kilku produktów używanych przez giełdy kryptowalut, instytucje finansowe i agencje ścigania.
2 listopada firma wyłączyła Reactor i Data Solutions w celu przeprowadzenia dodatkowych ocen bezpieczeństwa, pozwalając jednocześnie na dalsze działanie swoim produktom do monitorowania transakcji zgodności.
Reactor dostarcza narzędzia do śledzenia blockchain, podczas gdy Data Solutions dostarcza dane blockchain wykorzystywane przez klientów do analizy i monitorowania.
Dwa dni później nieprawidłowa aktywność skłoniła Chainalysis do zawieszenia interfejsu użytkownika i API KYT, innych produktów do weryfikacji adresów oraz jej strony logowania.
KYT pomaga firmom kryptowalutowym monitorować transakcje pod kątem podejrzanej aktywności i potencjalnego prania pieniędzy. Jej API pozwala klientom podłączyć weryfikację transakcji bezpośrednio do istniejących systemów.
Chainalysis stwierdziła, że zamierza rozpocząć przywracanie dostępu do KYT i Address Screening 5 listopada, początkowo poprzez listę dozwolonych zaufanych adresów IP klientów.
Każdy użytkownik będzie musiał zresetować swoje hasło, a w stosownych przypadkach konieczna będzie rotacja kluczy API. Firma nie podała daty przywrócenia usług Reactor lub Data Solutions.
Niedawne ataki kryptowalutowe poddają mechanizmy bezpieczeństwa pod lupę
Incydent następuje po kilku poważnych naruszeniach cyberbezpieczeństwa, które w ostatnich tygodniach dotknęły firmy kryptowalutowe.
Jak wcześniej informował crypto.news, Binance poniosła szacowaną stratę 6,3 miliarda dolarów w kryptowalutach 29 października, po tym jak atakujący przejęli kontrolę nad systemami połączonymi z jej infrastrukturą portfela.
Chainalysis wyraźnie stwierdziła, że jej własny incydent bezpieczeństwa nie był powiązany z kradzieżą w Binance.
Firma zajmująca się analityką blockchain nadal pomagała innym firmom w dochodzeniach bezpieczeństwa w trakcie zakłócenia. Po ataku na Mercado Bitcoin z 2 listopada Chainalysis poinformowała, że pomogła skoordynować zamrożenie blisko 10 milionów dolarów skradzionych kryptowalut.
Osobno Binance unieważniła klucze API powiązane z platformą handlową SignalPlus 5 listopada, po tym jak usługa zewnętrzna zgłosiła incydent bezpieczeństwa.
SignalPlus następnie przyznała, że niektórym dotkniętym kontom brakowało obowiązkowego białej listy adresów IP, podczas gdy Binance i Deribit wyłączyły powiązane dane uwierzytelniające jako środek ostrożności.
W swoich instrukcjach dla dotkniętych klientów Chainalysis ostrzegła użytkowników przed klikaniem linków w nieoczekiwanych e-mailach z resetowaniem hasła i zaleciła każdemu, kto używał swojego hasła do Chainalysis gdzie indziej, zmianę tych danych uwierzytelniających.
Firma zaleciła uwierzytelnianie dwuskładnikowe organizacjom, które go nie włączyły, i poprosiła klientów o zgłaszanie podejrzanych komunikacji lub aktywności na koncie swoim zespołom ds. bezpieczeństwa.
