La empresa de análisis de blockchain Chainalysis ha confirmado que los hackers expusieron hashes de contraseñas y tokens activos pertenecientes a sus usuarios durante un ciberataque que obligó a desconectar varios de sus servicios de investigación y monitoreo de transacciones.
Resumen
- Chainalysis confirmó que los nombres de clientes, nombres de usuario, hashes de contraseñas y tokens activos pertenecientes a todos los usuarios quedaron expuestos a un actor malicioso durante un ciberataque.
- La empresa desconectó KYT, Reactor, Data Solutions y otros productos de cribado tras detectar actividad sospechosa, con algunas cuentas de clientes potencialmente accedidas sin autorización.
- Chainalysis identificó un ataque en ruta que expuso un subconjunto de contraseñas de clientes y afirmó que el método de ataque había sido contenido y remediado desde entonces.
- Se requerirá a los clientes que restablezcan sus contraseñas y roten las claves API cuando corresponda, mientras Chainalysis trabaja para restaurar el acceso a través de direcciones IP aprobadas.
Según una actualización de seguridad del 4 de noviembre, la empresa descubrió que la información de los clientes, incluidos nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios de Chainalysis, había quedado expuesta a un actor malicioso.
La última divulgación amplía una declaración del 30 de octubre en la que Chainalysis informó inicialmente que se había accedido a ciertos detalles del perfil de clientes, pero dijo que no había encontrado evidencia de credenciales de autenticación o tokens de sesión comprometidos.
Chainalysis dijo que sigue sin tener evidencia de que se haya accedido a datos de investigación o de que sus datos de atribución de blockchain hayan sido manipulados durante el incidente.
El ciberataque a Chainalysis expone contraseñas y tokens activos
El incidente de seguridad se divulgó por primera vez el 30 de octubre después de que Chainalysis detectara a un atacante externo utilizando lo que describió como "técnicas agénticas ofensivas" para obtener acceso no autorizado a sus sistemas y herramientas internas.
Su investigación inicial identificó identificadores de usuario, direcciones de correo electrónico, nombres completos y roles organizacionales expuestos, mientras la empresa trabajaba para determinar qué registros de clientes se habían visto afectados.
Para el 4 de noviembre, los investigadores habían identificado otro método de ataque que implicaba la interceptación de contraseñas de clientes.
En un correo electrónico enviado a ciertos usuarios afectados, Chainalysis describió el incidente como un "ciberataque multifrente en curso" y confirmó que un "ataque en ruta" había expuesto un subconjunto de contraseñas de clientes.
Un ataque en ruta permite a un intruso interceptar las comunicaciones entre un usuario y un servicio. Chainalysis dijo que había contenido y remediado el método de ataque y que estaba bloqueando las cuentas afectadas como precaución.
La exposición de hashes de contraseñas y tokens activos presenta preocupaciones de seguridad distintas. Los hashes de contraseñas son representaciones almacenadas de contraseñas, mientras que los tokens de autenticación activos pueden potencialmente proporcionar acceso a servicios sin requerir que los usuarios ingresen sus contraseñas nuevamente.
Chainalysis no ha divulgado el método de hash utilizado para proteger las contraseñas ni ha especificado el tipo de tokens activos involucrados.
La empresa ha incorporado especialistas en ciberseguridad de terceros para investigar la intrusión y reforzar sus sistemas, con modelos de lenguaje grandes siendo utilizados para apoyar su revisión de seguridad interna.
Chainalysis suspende los servicios KYT y Reactor tras actividad sospechosa
La brecha ha obligado a Chainalysis a suspender varios productos utilizados por intercambios de criptomonedas, instituciones financieras y agencias de aplicación de la ley.
El 2 de noviembre, la empresa desconectó Reactor y Data Solutions para evaluaciones de seguridad adicionales, mientras permitía que sus productos de monitoreo de transacciones de cumplimiento continuaran operando.
Reactor proporciona herramientas de investigación de blockchain, mientras que Data Solutions suministra datos de blockchain utilizados por los clientes para análisis y monitoreo.
Dos días después, una actividad anormal llevó a Chainalysis a suspender la interfaz de usuario y la API de KYT, otros productos de cribado de direcciones y su página de inicio de sesión.
KYT ayuda a las empresas de criptomonedas a monitorear transacciones en busca de actividad sospechosa y posible lavado de dinero. Su API permite a los clientes conectar el cribado de transacciones directamente a sus sistemas existentes.
Chainalysis dijo que tenía la intención de comenzar a restaurar el acceso a KYT y Address Screening el 5 de noviembre, inicialmente a través de una lista de permitidos de direcciones IP de clientes de confianza.
Se requerirá que cada usuario restablezca su contraseña, con la rotación de claves API requerida cuando corresponda. La empresa no ha proporcionado una fecha de restauración para Reactor o Data Solutions.
Los recientes ataques cripto ponen los controles de seguridad bajo escrutinio
El incidente se produce tras varias brechas de ciberseguridad importantes que afectaron a empresas de criptomonedas en las últimas semanas.
Como crypto.news informó anteriormente, Binance sufrió un robo de criptomonedas estimado en 6.300 millones de dólares el 29 de octubre después de que los atacantes comprometieran sistemas conectados a su infraestructura de billetera.
Chainalysis declaró explícitamente que su propio incidente de seguridad no estaba relacionado con el robo de Binance.
La empresa de análisis de blockchain ha seguido ayudando a otras firmas con investigaciones de seguridad durante la interrupción. Tras el ataque a Mercado Bitcoin del 2 de noviembre, Chainalysis dijo que ayudó a coordinar la congelación de casi 10 millones de dólares en criptomonedas robadas.
Por separado, Binance revocó las claves API asociadas con la plataforma de trading SignalPlus el 5 de noviembre después de que el servicio de terceros reportara un incidente de seguridad.
SignalPlus reconoció posteriormente que algunas cuentas afectadas carecían de la lista blanca de IP obligatoria, mientras que Binance y Deribit deshabilitaron las credenciales conectadas como precaución.
En sus instrucciones a los clientes afectados, Chainalysis advirtió a los usuarios que no siguieran los enlaces en correos electrónicos no solicitados de restablecimiento de contraseña y aconsejó a cualquiera que hubiera reutilizado su contraseña de Chainalysis en otro lugar que cambiara esas credenciales.
La empresa recomendó la autenticación de dos factores para las organizaciones que no la habían habilitado y pidió a los clientes que informaran comunicaciones o actividad de cuenta sospechosas a sus equipos de seguridad.
