Das Blockchain-Analyseunternehmen Chainalysis hat bestätigt, dass Hacker bei einem Cyberangriff Passwort-Hashes und aktive Tokens seiner Nutzer offengelegt haben, wodurch mehrere seiner Untersuchungs- und Transaktionsüberwachungsdienste offline gehen mussten.
Zusammenfassung
- Chainalysis bestätigte, dass Kundennamen, Benutzernamen, Passwort-Hashes und aktive Tokens aller Nutzer während eines Cyberangriffs einem böswilligen Akteur offengelegt wurden.
- Das Unternehmen nahm KYT, Reactor, Data Solutions und andere Screening-Produkte offline, nachdem es verdächtige Aktivitäten festgestellt hatte, wobei möglicherweise ohne Autorisierung auf einige Kundenkonten zugegriffen wurde.
- Chainalysis identifizierte einen On-Path-Angriff, bei dem eine Teilmenge von Kundenpasswörtern offengelegt wurde, und erklärte, dass die Angriffsmethode inzwischen eingedämmt und behoben worden sei.
- Kunden müssen ihre Passwörter zurücksetzen und gegebenenfalls API-Schlüssel rotieren, während Chainalysis daran arbeitet, den Zugriff über genehmigte IP-Adressen wiederherzustellen.
Laut einem Sicherheitsupdate vom 4. November stellte das Unternehmen fest, dass Kundeninformationen, einschließlich Namen, Benutzernamen, Passwort-Hashes und aktive Tokens aller Chainalysis-Nutzer, einem böswilligen Akteur offengelegt worden waren.
Die jüngste Offenlegung erweitert eine Erklärung vom 30. Oktober, in der Chainalysis zunächst berichtet hatte, dass auf bestimmte Kundendetails zugegriffen worden war, aber keine Hinweise auf kompromittierte Authentifizierungsdaten oder Sitzungstokens gefunden worden seien.
Chainalysis erklärte, es gebe weiterhin keine Hinweise darauf, dass während des Vorfalls auf Untersuchungsdaten zugegriffen oder dass seine Blockchain-Zuordnungsdaten manipuliert wurden.
Chainalysis-Cyberangriff legt Passwörter und aktive Tokens offen
Der Sicherheitsvorfall wurde erstmals am 30. Oktober offengelegt, nachdem Chainalysis festgestellt hatte, dass ein externer Angreifer sogenannte „offensive agentische Techniken“ nutzte, um unbefugten Zugriff auf seine Systeme und internen Tools zu erlangen.
Die erste Untersuchung identifizierte offengelegte Benutzer-IDs, E-Mail-Adressen, vollständige Namen und organisatorische Rollen, während das Unternehmen daran arbeitete, festzustellen, welche Kundendatensätze betroffen waren.
Bis zum 4. November hatten die Ermittler eine weitere Angriffsmethode identifiziert, die die Abfangung von Kundenpasswörtern umfasste.
In einer E-Mail an bestimmte betroffene Nutzer beschrieb Chainalysis den Vorfall als „andauernden multifrontalen Cyberangriff“ und bestätigte, dass ein „On-Path-Angriff“ eine Teilmenge von Kundenpasswörtern offengelegt hatte.
Ein On-Path-Angriff ermöglicht es einem Eindringling, die Kommunikation zwischen einem Nutzer und einem Dienst abzufangen. Chainalysis erklärte, die Angriffsmethode eingedämmt und behoben zu haben, und sperre betroffene Konten vorsorglich.
Die Offenlegung von Passwort-Hashes und aktiven Tokens birgt separate Sicherheitsbedenken. Passwort-Hashes sind gespeicherte Darstellungen von Passwörtern, während aktive Authentifizierungs-Tokens potenziell Zugriff auf Dienste ermöglichen können, ohne dass Nutzer ihre Passwörter erneut eingeben müssen.
Chainalysis hat weder die zum Schutz der Passwörter verwendete Hash-Methode noch die Art der beteiligten aktiven Tokens offengelegt.
Das Unternehmen hat externe Cybersicherheitsspezialisten hinzugezogen, um den Eindringling zu untersuchen und seine Systeme zu stärken, wobei große Sprachmodelle zur Unterstützung der internen Sicherheitsüberprüfung eingesetzt werden.
Chainalysis setzt KYT- und Reactor-Dienste nach verdächtigen Aktivitäten aus
Die Sicherheitsverletzung hat Chainalysis gezwungen, mehrere Produkte auszusetzen, die von Kryptowährungsbörsen, Finanzinstituten und Strafverfolgungsbehörden genutzt werden.
Am 2. November nahm das Unternehmen Reactor und Data Solutions für zusätzliche Sicherheitsbewertungen offline, während seine Compliance-Produkte zur Transaktionsüberwachung weiter betrieben werden konnten.
Reactor bietet Blockchain-Untersuchungstools, während Data Solutions Blockchain-Daten liefert, die von Kunden für Analyse und Überwachung genutzt werden.
Zwei Tage später veranlassten abnormale Aktivitäten Chainalysis dazu, die Benutzeroberfläche und API von KYT, andere Adress-Screening-Produkte und seine Anmeldeseite auszusetzen.
KYT hilft Kryptowährungsunternehmen, Transaktionen auf verdächtige Aktivitäten und potenzielle Geldwäsche zu überwachen. Seine API ermöglicht es Kunden, die Transaktionsprüfung direkt an ihre bestehenden Systeme anzubinden.
Chainalysis erklärte, es beabsichtige, am 5. November mit der Wiederherstellung des Zugriffs auf KYT und Address Screening zu beginnen, zunächst über eine Allowlist vertrauenswürdiger Kunden-IP-Adressen.
Alle Benutzer müssen ihr Passwort zurücksetzen, wobei gegebenenfalls eine Rotation der API-Schlüssel erforderlich ist. Das Unternehmen hat kein Wiederherstellungsdatum für Reactor oder Data Solutions genannt.
Jüngste Krypto-Angriffe stellen Sicherheitskontrollen auf den Prüfstand
Der Vorfall folgt auf mehrere große Cybersicherheitsverletzungen, die Kryptowährungsunternehmen in den letzten Wochen betroffen haben.
Wie crypto.news zuvor berichtete, erlitt Binance am 29. Oktober einen geschätzten Kryptowährungsdiebstahl in Höhe von 6,3 Milliarden US-Dollar, nachdem Angreifer Systeme kompromittiert hatten, die mit seiner Wallet-Infrastruktur verbunden waren.
Chainalysis erklärte ausdrücklich, dass sein eigener Sicherheitsvorfall nichts mit dem Binance-Diebstahl zu tun habe.
Das Blockchain-Analyseunternehmen hat während der Störung weiterhin andere Firmen bei Sicherheitsuntersuchungen unterstützt. Nach dem Angriff auf Mercado Bitcoin am 2. November gab Chainalysis an, bei der Koordinierung der Einfrierung von fast 10 Millionen US-Dollar gestohlener Kryptowährung geholfen zu haben.
Unabhängig davon widerrief Binance API-Schlüssel, die mit der Handelsplattform SignalPlus verbunden waren, am 5. November, nachdem der Drittanbieterdienst einen Sicherheitsvorfall gemeldet hatte.
SignalPlus räumte anschließend ein, dass bei einigen betroffenen Konten die obligatorische IP-Whitelist fehlte, während Binance und Deribit verbundene Anmeldedaten vorsorglich deaktivierten.
In seinen Anweisungen an betroffene Kunden warnte Chainalysis die Nutzer davor, Links in unaufgeforderten E-Mails zum Zurücksetzen des Passworts zu folgen, und riet allen, die ihr Chainalysis-Passwort auch anderswo verwendet hatten, diese Anmeldedaten zu ändern.
Das Unternehmen empfahl Organisationen, die die Zwei-Faktor-Authentifizierung noch nicht aktiviert hatten, diese einzurichten, und bat Kunden, verdächtige Kommunikationen oder Kontoaktivitäten ihren Sicherheitsteams zu melden.
