Аналітична блокчейн-компанія Chainalysis підтвердила, що хакери розкрили хеші паролів і активні токени, що належать її користувачам, під час кібератаки, яка змусила кілька її сервісів розслідування та моніторингу транзакцій перейти в офлайн-режим.
Резюме
- Chainalysis підтвердила, що імена клієнтів, імена користувачів, хеші паролів і активні токени, що належать усім користувачам, були розкриті зловмиснику під час кібератаки.
- Компанія перевела KYT, Reactor, Data Solutions та інші продукти для скринінгу в офлайн-режим після виявлення підозрілої активності, причому до деяких облікових записів клієнтів, можливо, було отримано несанкціонований доступ.
- Chainalysis виявила атаку типу «on-path», яка розкрила частину паролів клієнтів, і заявила, що метод атаки було локалізовано та усунено.
- Клієнтам потрібно буде скинути паролі та за потреби оновити API-ключі, поки Chainalysis працює над відновленням доступу через схвалені IP-адреси.
Згідно з оновленням щодо безпеки від 4 листопада, компанія виявила, що інформація про клієнтів, включаючи імена, імена користувачів, хеші паролів і активні токени для всіх користувачів Chainalysis, була розкрита зловмиснику.
Останнє розкриття розширює заяву від 30 жовтня, в якій Chainalysis спочатку повідомила, що певні дані профілів клієнтів були доступні, але заявила, що не знайшла доказів компрометації облікових даних автентифікації або токенів сеансу.
Chainalysis заявила, що досі не має доказів того, що дані розслідування були доступні або що її дані блокчейн-атрибуції були змінені під час інциденту.
Кібератака на Chainalysis розкрила паролі та активні токени
Про інцидент безпеки вперше було повідомлено 30 жовтня після того, як Chainalysis виявила зовнішнього зловмисника, який використовував те, що вона описала як «наступальні агентні техніки», для отримання несанкціонованого доступу до своїх систем і внутрішніх інструментів.
Її початкове розслідування виявило розкриті ідентифікатори користувачів, адреси електронної пошти, повні імена та організаційні ролі, поки компанія працювала над визначенням того, які записи клієнтів були порушені.
До 4 листопада слідчі виявили ще один метод атаки, що включав перехоплення паролів клієнтів.
У електронному листі, надісланому певним постраждалим користувачам, Chainalysis описала інцидент як «триваючу багатофронтову кібератаку» та підтвердила, що «атака типу on-path» розкрила частину паролів клієнтів.
Атака типу on-path дозволяє зловмиснику перехоплювати зв'язок між користувачем і сервісом. Chainalysis заявила, що локалізувала та усунула метод атаки і блокує постраждалі облікові записи як запобіжний захід.
Розкриття хешів паролів і активних токенів становить окремі проблеми безпеки. Хеші паролів — це збережені представлення паролів, тоді як активні токени автентифікації потенційно можуть надавати доступ до сервісів без необхідності повторного введення користувачами своїх паролів.
Chainalysis не розкрила метод хешування, який використовується для захисту паролів, і не уточнила тип задіяних активних токенів.
Компанія залучила сторонніх фахівців з кібербезпеки для розслідування вторгнення та зміцнення своїх систем, причому великі мовні моделі використовуються для підтримки її внутрішнього огляду безпеки.
Chainalysis призупиняє сервіси KYT і Reactor після підозрілої активності
Порушення змусило Chainalysis призупинити кілька продуктів, які використовуються криптовалютними біржами, фінансовими установами та правоохоронними органами.
2 листопада компанія перевела Reactor і Data Solutions в офлайн-режим для додаткових оцінок безпеки, дозволивши своїм продуктам моніторингу транзакцій для комплаєнсу продовжувати роботу.
Reactor надає інструменти для блокчейн-розслідувань, тоді як Data Solutions постачає блокчейн-дані, які клієнти використовують для аналізу та моніторингу.
Через два дні аномальна активність спонукала Chainalysis призупинити інтерфейс користувача та API KYT, інші продукти для скринінгу адрес та її сторінку входу.
KYT допомагає криптовалютним компаніям відстежувати транзакції на предмет підозрілої активності та потенційного відмивання грошей. Його API дозволяє клієнтам підключати скринінг транзакцій безпосередньо до їхніх існуючих систем.
Chainalysis заявила, що має намір розпочати відновлення доступу до KYT і Address Screening 5 листопада, спочатку через список дозволених IP-адрес довірених клієнтів.
Кожен користувач повинен буде скинути свій пароль, а ротація API-ключів вимагатиметься там, де це доречно. Компанія не надала дати відновлення роботи Reactor або Data Solutions.
Нещодавні криптоатаки ставлять під сумнів засоби безпеки
Інцидент стався після кількох великих порушень кібербезпеки, які за останні тижні торкнулися криптовалютних компаній.
Як раніше повідомляло crypto.news, Binance зазнала крадіжки криптовалюти на суму приблизно 6,3 мільярда доларів 29 жовтня після того, як зловмисники скомпрометували системи, пов'язані з її інфраструктурою гаманців.
Chainalysis чітко заявила, що її власний інцидент безпеки не пов'язаний із крадіжкою в Binance.
Компанія з блокчейн-аналітики продовжувала допомагати іншим фірмам у розслідуваннях безпеки під час збою. Після атаки на Mercado Bitcoin 2 листопада Chainalysis заявила, що допомогла координувати заморожування майже 10 мільйонів доларів викраденої криптовалюти.
Окремо Binance відкликала API-ключі, пов'язані з торговою платформою SignalPlus, 5 листопада після того, як сторонній сервіс повідомив про інцидент безпеки.
Згодом SignalPlus визнала, що деякі постраждалі облікові записи не мали обов'язкового білого списку IP-адрес, тоді як Binance і Deribit вимкнули пов'язані облікові дані як запобіжний захід.
У своїх інструкціях для постраждалих клієнтів Chainalysis застерегла користувачів не переходити за посиланнями в небажаних електронних листах щодо скидання пароля та порадила всім, хто використовував свій пароль Chainalysis деінде, змінити ці облікові дані.
Компанія рекомендувала двофакторну автентифікацію для організацій, які її не ввімкнули, і попросила клієнтів повідомляти про підозрілі повідомлення або активність облікового запису своїм командам безпеки.
