La société d'analyse blockchain Chainalysis a confirmé que des pirates ont exposé des hachages de mots de passe et des jetons actifs appartenant à ses utilisateurs lors d'une cyberattaque qui a mis hors ligne plusieurs de ses services d'enquête et de surveillance des transactions.
Résumé
- Chainalysis a confirmé que les noms des clients, les noms d'utilisateur, les hachages de mots de passe et les jetons actifs appartenant à tous les utilisateurs ont été exposés à un acteur malveillant lors d'une cyberattaque.
- L'entreprise a mis hors ligne KYT, Reactor, Data Solutions et d'autres produits de filtrage après avoir détecté une activité suspecte, certains comptes clients ayant potentiellement été consultés sans autorisation.
- Chainalysis a identifié une attaque de type « on-path » qui a exposé un sous-ensemble de mots de passe clients et a déclaré que la méthode d'attaque avait depuis été contenue et corrigée.
- Les clients devront réinitialiser leurs mots de passe et renouveler leurs clés API le cas échéant, tandis que Chainalysis s'efforce de rétablir l'accès via des adresses IP approuvées.
Selon une mise à jour de sécurité du 4 novembre, l'entreprise a découvert que des informations clients, notamment les noms, les noms d'utilisateur, les hachages de mots de passe et les jetons actifs de tous les utilisateurs de Chainalysis, avaient été exposés à un acteur malveillant.
La dernière divulgation développe une déclaration du 30 octobre dans laquelle Chainalysis avait initialement rapporté que certains détails de profils clients avaient été consultés, mais avait déclaré n'avoir trouvé aucune preuve de compromission des identifiants d'authentification ou des jetons de session.
Chainalysis a déclaré qu'elle ne disposait toujours d'aucune preuve que des données d'enquête aient été consultées ou que ses données d'attribution blockchain aient été manipulées lors de l'incident.
La cyberattaque de Chainalysis expose des mots de passe et des jetons actifs
L'incident de sécurité a été divulgué pour la première fois le 30 octobre après que Chainalysis a détecté un attaquant externe utilisant ce qu'elle a décrit comme des « techniques agentiques offensives » pour obtenir un accès non autorisé à ses systèmes et outils internes.
Son enquête initiale a identifié des identifiants utilisateur, des adresses e-mail, des noms complets et des rôles organisationnels exposés, tandis que l'entreprise s'efforçait de déterminer quels dossiers clients avaient été affectés.
Au 4 novembre, les enquêteurs avaient identifié une autre méthode d'attaque impliquant l'interception des mots de passe des clients.
Dans un e-mail envoyé à certains utilisateurs affectés, Chainalysis a décrit l'incident comme une « cyberattaque multifront en cours » et a confirmé qu'une « attaque de type on-path » avait exposé un sous-ensemble de mots de passe clients.
Une attaque de type on-path permet à un intrus d'intercepter les communications entre un utilisateur et un service. Chainalysis a déclaré avoir contenu et corrigé la méthode d'attaque et verrouillait les comptes affectés par précaution.
L'exposition des hachages de mots de passe et des jetons actifs présente des préoccupations de sécurité distinctes. Les hachages de mots de passe sont des représentations stockées des mots de passe, tandis que les jetons d'authentification actifs peuvent potentiellement fournir un accès aux services sans obliger les utilisateurs à saisir à nouveau leurs mots de passe.
Chainalysis n'a pas divulgué la méthode de hachage utilisée pour protéger les mots de passe ni précisé le type de jetons actifs concernés.
L'entreprise a fait appel à des spécialistes tiers en cybersécurité pour enquêter sur l'intrusion et renforcer ses systèmes, des modèles de langage de grande taille étant utilisés pour soutenir son examen de sécurité interne.
Chainalysis suspend les services KYT et Reactor après une activité suspecte
La violation a contraint Chainalysis à suspendre plusieurs produits utilisés par les plateformes d'échange de cryptomonnaies, les institutions financières et les agences d'application de la loi.
Le 2 novembre, l'entreprise a mis hors ligne Reactor et Data Solutions pour des évaluations de sécurité supplémentaires tout en permettant à ses produits de surveillance des transactions de conformité de continuer à fonctionner.
Reactor fournit des outils d'enquête blockchain, tandis que Data Solutions fournit des données blockchain utilisées par les clients pour l'analyse et la surveillance.
Deux jours plus tard, une activité anormale a poussé Chainalysis à suspendre l'interface utilisateur et l'API de KYT, d'autres produits de filtrage d'adresses et sa page de connexion.
KYT aide les entreprises de cryptomonnaies à surveiller les transactions pour détecter les activités suspectes et le blanchiment d'argent potentiel. Son API permet aux clients de connecter le filtrage des transactions directement à leurs systèmes existants.
Chainalysis a déclaré avoir l'intention de commencer à rétablir l'accès à KYT et Address Screening le 5 novembre, initialement via une liste d'autorisation d'adresses IP clients de confiance.
Chaque utilisateur devra réinitialiser son mot de passe, avec une rotation des clés API requise le cas échéant. L'entreprise n'a pas fourni de date de rétablissement pour Reactor ou Data Solutions.
Les récentes attaques crypto mettent les contrôles de sécurité sous examen
L'incident fait suite à plusieurs violations majeures de cybersécurité ayant touché des entreprises de cryptomonnaies ces dernières semaines.
Comme crypto.news l'a précédemment rapporté, Binance a subi un vol de cryptomonnaies estimé à 6,3 milliards de dollars le 29 octobre après que des attaquants ont compromis des systèmes liés à son infrastructure de portefeuille.
Chainalysis a explicitement déclaré que son propre incident de sécurité n'était pas lié au vol de Binance.
L'entreprise d'analyse blockchain a continué d'aider d'autres sociétés dans des enquêtes de sécurité pendant la perturbation. À la suite de l'attaque contre Mercado Bitcoin du 2 novembre, Chainalysis a déclaré avoir contribué à coordonner le gel de près de 10 millions de dollars de cryptomonnaies volées.
Séparément, Binance a révoqué des clés API associées à la plateforme de trading SignalPlus le 5 novembre après que le service tiers a signalé un incident de sécurité.
SignalPlus a par la suite reconnu que certains comptes concernés ne disposaient pas de la liste blanche IP obligatoire, tandis que Binance et Deribit ont désactivé les identifiants connectés par précaution.
Dans ses instructions aux clients concernés, Chainalysis a mis en garde les utilisateurs contre le fait de suivre les liens contenus dans des e-mails de réinitialisation de mot de passe non sollicités et a conseillé à toute personne ayant réutilisé son mot de passe Chainalysis ailleurs de modifier ces identifiants.
L'entreprise a recommandé l'authentification à deux facteurs pour les organisations qui ne l'avaient pas activée et a demandé aux clients de signaler les communications ou activités de compte suspectes à leurs équipes de sécurité.
