Chainalysisin mukaan hyökkääjät saivat käsiinsä jokaisen käyttäjän salasanan hajautusarvot ja reaaliaikaiset tunnukset

Chainalysis vietti viikon vakuuttelemalla asiakkailleen, että vahinko oli vähäinen. Sitten kävi ilmi, ettei niin ollutkaan.

Tällä viikolla julkaistussa päivitetyssä tietoturvaloukkausilmoituksessa lohkoketjuanalytiikkayritys kertoi, että kaikkien käyttäjiensä nimet, käyttäjätunnukset, salasanojen hajautusarvot ja aktiiviset todennustunnukset olivat joutuneet hyökkääjän käsiin. WuBlockchain kiinnitti huomiota päivitykseen X:ssä 6. marraskuuta ja lisäsi siihen kaikkein kirvelevimmän osan: myös joitakin salasanoja oli vuotanut selväkielisenä erillisen hyökkäysmenetelmän kautta.

”Ei-arkaluonteisesta” kaikkeen

Chainalysis julkisti asian 30. lokakuuta. Sen tietoturvapoikkeamaa koskevassa viestissä kerrottiin, että ulkopuolinen toimija oli käyttänyt ”hyökkäystekniikoita” päästäkseen yrityksen järjestelmiin ja sisäisiin työkaluihin. Tuolloin paljastuneet tiedot olivat käyttäjätunnuksia, koko nimiä, sähköpostiosoitteita ja organisaatiossa käytettyjä roolimerkintöjä. Yritys luokitteli tiedot ei-arkaluonteisiksi ja ilmoitti, ettei se ollut löytänyt merkkejä siitä, että hyökkääjä olisi päässyt käsiksi tutkintasisältöön, tunnistetietoihin tai istuntotunnuksiin. Se myös totesi kahdesti, ettei tapauksella ollut mitään tekemistä Binancen varkauden kanssa.

Viisi päivää myöhemmin tämä kuva romahti. Chainalysis ilmoitti havainneensa maanantaina 2. marraskuuta, että laajempi tietokokonaisuus oli paljastunut, ja Cointelegraph raportoi, että yritys kuvasi muutosta ensimmäisen kerran keskiviikkona. Erillisen päivityksen mukaan ”on-path-hyökkäys” – eli man-in-the-middle-tyyppinen hyökkäys – oli paljastanut osan asiakkaiden salasanoista, BleepingComputerin mukaan. Yritys ilmoittaa, että kyseinen hyökkäysvektori on nyt saatu hallintaan.

Yksi päivämäärä ei täsmää. Cybernews sijoittaa löydön keskiviikkoon 4. marraskuuta. Chainalysisin omassa sanamuodossa, jota Cointelegraph ja BleepingComputer lainaavat, mainitaan maanantai.

Mitä live-tunnus tarkoittaa

Salasanahashit on sekoitettu, eivätkä ne ole luettavissa, mutta ne voidaan murtaa, ja jokainen käyttäjä, joka on käyttänyt samaa salasanaa uudelleen, on vaarassa muuallakin. Live-tunnukset ovat suurempi huolenaihe. Kuten American Banker selitti, tunnus antaa henkilölle tai ohjelmalle mahdollisuuden toimia sisäänkirjautuneena käyttäjänä ilman salasanan syöttämistä. Chainalysis ei ole kertonut, mitä tunkeilija voisi nähdä tai muuttaa sen avulla. Yritys kieltäytyi myös antamasta Cointelegraphille mitään muuta tietoa kuin julkaistun ilmoituksen sisältöä, eikä se ole kertonut, onko hyökkääjä poistettu järjestelmästä.

Toiminnan keskeyttäminen

Ensimmäisinä suljettiin Reactor, tutkintatyökalu, sekä Data Solutions, joka syöttää Chainalysisin tietoja asiakkaiden omiin järjestelmiin. Myöhemmin, havaittuaan epänormaalia toimintaa, yritys poisti käytöstä KYT:n – sekä käyttöliittymän että sovellusrajapinnan – sekä osoitteiden seulonnan ja kirjautumissivun, The Hacker Newsin mukaan. Vaikuttuneet tilit lukittiin. Joillekin käyttäjille edes salasanan nollaaminen ei ollut vielä mahdollista.

Pääsyn palauttaminen edellyttää IP-sallittujen luettelon laatimista, salasanan nollaamista ja API-avaimen vaihtamista jokaiselle käyttäjälle. KYT ja osoitteiden seulonta olivat ensimmäisinä vuorossa. Reactorin ja Data Solutionsin palauttamisajankohdasta ei ole tietoa.

KYT:n kautta talletuksia tarkistavalle sääntöjen noudattamista valvovalle tiimille tämä on ollut ikävä viikko. Asiakkaisiin kuuluvat lainvalvontaviranomaiset, valtion virastot, pankit, vakuutusyhtiöt ja kryptovaluutta-alan yritykset, BleepingComputer toteaa. Useilta niistä katosi keskeinen tarkistustyökalu, kun ne odottivat vastauksia.

Tärkein seikka

Chainalysis toistelee, ettei sillä ole todisteita siitä, että tutkintatietoihin olisi päästy käsiksi tai että sen attribuutiotietoja olisi manipuloitu. Attribuutiotiedot ovat se tekijä, joka yhdistää osoitteet todellisiin tahoihin, ja jos joku voisi muokata niitä huomaamatta, jokainen niihin perustuva jälki muuttuu epäilyttäväksi. Siksi väitteellä on suuri painoarvo.

Lukisin sen silti huolellisesti. ”Ei todisteita” oli myös yrityksen kanta tunnistetietoihin ja tunnuksiin 30. lokakuuta. American Banker huomautti, että laajemmat paljastukset tulivat viisi päivää tuon lausunnon jälkeen. Se ei tee nykyisestä väitteestä väärää. Se tarkoittaa kuitenkin, että tutkinta etenee edelleen.

Tekoälyn näkökulma

Chainalysis kertoo havainneensa tekoälypohjaisten hyökkäysten lisääntymistä koko alalla. Se ei ole kertonut, mitä työkalua käytettiin, kuinka kauan hyökkääjä oli järjestelmässä tai mitä haavoittuvuuksia hyödynnettiin. Teiss totesi, että on epäselvää, käyttikö hyökkääjä ARTEXin kaltaista kehystä vai räätälöityjä agentteja.

Laajempi trendi on kuitenkin todellinen. The Hacker News luettelee Chainstackin, OpenCoden, Warpin ja WorkOS:n niiden yritysten joukossa, jotka ovat viime aikoina ilmoittaneet tekoälypohjaisista hyökkäyksistä. Microsoft kuvaili yhtä kampanjaa, jossa agentti siirtyi GitHubin skannaamisesta paljastuneiden salaisuuksien etsimiseksi tietojen poimimiseen Azure Key Vaultista noin viidessä minuutissa. Mikään julkinen tieto ei yhdistä kyseistä kampanjaa Chainalysisiin.

Huono viikko kryptovaluuttojen tietoturvalle

Ajoitus on hankala. Binance menetti noin 6,3 miljardia dollaria 29. lokakuuta tapahtuneessa tietomurrossa, ja Chainalysis oli yksi niistä yrityksistä, jotka auttoivat yhteisöä selvittämään, kuka sen takana oli. Tällä viikolla Binance ja Deribit peruuttivat myös kaikki kaupankäyntialustaan SignalPlus sidotut API-avaimet sen jälkeen, kun alusta ilmoitti tietoturvaongelmasta. SignalPlus ilmoitti myöhemmin, että väärennetty Microsoft Teams -kutsu vaaransi erään insinöörin tietokoneen ja että tappiot jäivät alle 82 000 dollariin. Sekä Binance että Deribit ilmoittivat, ettei niiden omiin järjestelmiin ollut kohdistunut vaaraa, ja Changpeng Zhao kehotti kauppiaita peruuttamaan SignalPlus-avaimet muillakin pörsseillä.

Mikään näistä tapauksista ei liity Chainalysisiin. Yhdessä ne osoittavat, kuinka suuri osa tämän alan tietoturvasta riippuu nykyään kolmansien osapuolten hallussa olevista kirjautumistunnuksista, tunnuksista ja API-avaimista.

Mitä käyttäjien tulisi tehdä?

Chainalysisin asiakkaiden tulisi varautua pakolliseen nollaukseen ja vaihtaa kaikki API-avaimet, joita yritys pyytää. Jos olet käyttänyt Chainalysis-salasanaasi muuallakin, vaihda se myös siellä. Suhtaudu kaikkiin odottamattomiin salasanan nollausviesteihin tai todennuspyyntöihin epäilyttävinä – juuri näin Chainalysis kehotti omia käyttäjiään toimimaan.

Vielä vastaamatta: kuinka monen asiakkaan tileihin on murtauduttu, onko hyökkääjä poissa ja milloin Reactor palaa käyttöön.