A empresa de análise de blockchain Chainalysis confirmou que hackers expuseram hashes de senhas e tokens ativos pertencentes aos seus usuários durante um ciberataque que forçou vários de seus serviços de investigação e monitoramento de transações a ficarem offline.
Resumo
- A Chainalysis confirmou que nomes de clientes, nomes de usuário, hashes de senhas e tokens ativos pertencentes a todos os usuários foram expostos a um agente malicioso durante um ciberataque.
- A empresa colocou KYT, Reactor, Data Solutions e outros produtos de triagem offline após detectar atividade suspeita, com algumas contas de clientes potencialmente acessadas sem autorização.
- A Chainalysis identificou um ataque on-path que expôs um subconjunto de senhas de clientes e disse que o método de ataque desde então foi contido e remediado.
- Os clientes serão obrigados a redefinir senhas e rotacionar chaves de API quando apropriado, enquanto a Chainalysis trabalha para restaurar o acesso por meio de endereços IP aprovados.
De acordo com uma atualização de segurança de 4 de novembro, a empresa descobriu que informações de clientes, incluindo nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários da Chainalysis, haviam sido expostas a um agente malicioso.
A divulgação mais recente amplia uma declaração de 30 de outubro na qual a Chainalysis relatou inicialmente que certos detalhes de perfil de clientes haviam sido acessados, mas disse que não encontrou evidências de credenciais de autenticação ou tokens de sessão comprometidos.
A Chainalysis disse que continua sem evidências de que dados de investigação tenham sido acessados ou que seus dados de atribuição de blockchain tenham sido manipulados durante o incidente.
O ciberataque à Chainalysis expõe senhas e tokens ativos
O incidente de segurança foi divulgado pela primeira vez em 30 de outubro, após a Chainalysis detectar um atacante externo usando o que descreveu como “técnicas agênticas ofensivas” para obter acesso não autorizado aos seus sistemas e ferramentas internas.
Sua investigação inicial identificou IDs de usuário, endereços de e-mail, nomes completos e funções organizacionais expostos, enquanto a empresa trabalhava para determinar quais registros de clientes haviam sido afetados.
Até 4 de novembro, os investigadores haviam identificado outro método de ataque envolvendo a interceptação de senhas de clientes.
Em um e-mail enviado a certos usuários afetados, a Chainalysis descreveu o incidente como um “ciberataque multifrontal em andamento” e confirmou que um “ataque on-path” havia exposto um subconjunto de senhas de clientes.
Um ataque on-path permite que um invasor intercepte comunicações entre um usuário e um serviço. A Chainalysis disse que havia contido e remediado o método de ataque e estava bloqueando as contas afetadas como precaução.
A exposição de hashes de senhas e tokens ativos apresenta preocupações de segurança distintas. Hashes de senhas são representações armazenadas de senhas, enquanto tokens de autenticação ativos podem potencialmente fornecer acesso a serviços sem exigir que os usuários insiram suas senhas novamente.
A Chainalysis não divulgou o método de hash usado para proteger as senhas nem especificou o tipo de tokens ativos envolvidos.
A empresa trouxe especialistas em cibersegurança de terceiros para investigar a intrusão e fortalecer seus sistemas, com modelos de linguagem de grande porte sendo usados para apoiar sua revisão de segurança interna.
Chainalysis suspende serviços KYT e Reactor após atividade suspeita
A violação forçou a Chainalysis a suspender vários produtos usados por exchanges de criptomoedas, instituições financeiras e agências de aplicação da lei.
Em 2 de novembro, a empresa colocou o Reactor e o Data Solutions offline para avaliações de segurança adicionais, enquanto permitia que seus produtos de monitoramento de transações de conformidade continuassem operando.
O Reactor fornece ferramentas de investigação de blockchain, enquanto o Data Solutions fornece dados de blockchain usados por clientes para análise e monitoramento.
Dois dias depois, atividades anormais levaram a Chainalysis a suspender a interface do usuário e a API do KYT, outros produtos de triagem de endereços e sua página de login.
O KYT ajuda empresas de criptomoedas a monitorar transações em busca de atividades suspeitas e potencial lavagem de dinheiro. Sua API permite que os clientes conectem a triagem de transações diretamente aos seus sistemas existentes.
A Chainalysis disse que pretendia começar a restaurar o acesso ao KYT e ao Address Screening em 5 de novembro, inicialmente por meio de uma lista de permissões de endereços IP de clientes confiáveis.
Todos os usuários deverão redefinir sua senha, com a rotação de chaves de API exigida quando apropriado. A empresa não forneceu uma data de restauração para o Reactor ou o Data Solutions.
Ataques recentes a criptomoedas colocam os controles de segurança sob escrutínio
O incidente ocorre após várias grandes violações de segurança cibernética que afetaram empresas de criptomoedas nas últimas semanas.
Como o crypto.news relatou anteriormente, a Binance sofreu um roubo estimado de US$ 6,3 bilhões em criptomoedas em 29 de outubro, depois que atacantes comprometeram sistemas conectados à sua infraestrutura de carteiras.
A Chainalysis declarou explicitamente que seu próprio incidente de segurança não tinha relação com o roubo da Binance.
A empresa de análise de blockchain continuou auxiliando outras empresas em investigações de segurança durante a interrupção. Após o ataque à Mercado Bitcoin em 2 de novembro, a Chainalysis disse que ajudou a coordenar o congelamento de quase US$ 10 milhões em criptomoedas roubadas.
Separadamente, a Binance revogou chaves de API associadas à plataforma de negociação SignalPlus em 5 de novembro, depois que o serviço de terceiros relatou um incidente de segurança.
A SignalPlus posteriormente reconheceu que algumas contas afetadas não tinham a lista de permissões de IP obrigatória, enquanto a Binance e a Deribit desativaram credenciais conectadas como precaução.
Em suas instruções aos clientes afetados, a Chainalysis alertou os usuários para não seguirem links em e-mails não solicitados de redefinição de senha e aconselhou qualquer pessoa que tenha reutilizado sua senha da Chainalysis em outros lugares a alterar essas credenciais.
A empresa recomendou autenticação de dois fatores para organizações que não a haviam habilitado e pediu aos clientes que relatassem comunicações ou atividades de conta suspeitas às suas equipes de segurança.
