A Chainalysis confirmou que o ataque aos seus sistemas expôs nomes, nomes de usuário, hashes de senha e tokens de autenticação ativos de todos os seus usuários. A informação, divulgada em atualização publicada em 6 de novembro, reverte a avaliação inicial da empresa, de 30 de outubro, de que credenciais e tokens de sessão não haviam sido acessados.
A empresa de inteligência em blockchain atende agências de aplicação da lei, órgãos governamentais, instituições financeiras e empresas de criptomoedas em todo o mundo, com ferramentas para rastrear transações e investigar fraudes, ransomware e lavagem de dinheiro.
O que mudou desde a primeira divulgação
Em 30 de outubro, a Chainalysis informou que um invasor havia acessado seus sistemas e ferramentas internas usando o que descreveu como "técnicas agênticas ofensivas". Na ocasião, a empresa disse que haviam sido acessados nomes, e-mails, IDs de usuário e cargos organizacionais — dados que classificou como não sensíveis.
Na segunda-feira, 2 de novembro, a empresa descobriu que a exposição era maior: nomes, nomes de usuário, hashes de senha e tokens ativos de todos os usuários haviam sido expostos a um agente malicioso. No mesmo dia, por precaução, ela tirou do ar o Reactor e o Data Solutions, suas ferramentas de investigação.
Em 4 de novembro, após detectar atividade anormal, a empresa também tirou do ar o portal de login, a interface e a API do KYT (sua ferramenta de monitoramento de transações), os produtos de triagem de endereços e outros serviços. Na noite daquele dia, comunicou aos clientes a exposição total.
Em 6 de novembro, a Chainalysis começou a restaurar o KYT e a triagem de endereços em fases. O Reactor e o Data Solutions continuavam fora do ar, sem prazo divulgado para o retorno.
O que os clientes precisam fazer
Para recuperar o acesso, os clientes precisam enviar endereços IP confiáveis para uma lista de permissão (allowlist). Depois que o acesso for liberado, todos os usuários terão de redefinir a senha e trocar as chaves de API, quando aplicável, antes de registrar transações. A empresa também está notificando diretamente os clientes cujas contas do KYT parecem ter sido acessadas sem autorização.
Um token ativo é uma credencial de sessão válida: com ele, um invasor pode agir como um usuário logado sem conhecer a senha. Por isso, a empresa orienta que as senhas sejam trocadas também em outros sistemas onde as mesmas credenciais possam ter sido reutilizadas.
O que a empresa diz que não foi atingido
Segundo a Chainalysis, até o momento não há evidência de que dados de investigações tenham sido acessados ou de que os dados de atribuição — que ligam endereços de blockchain a entidades do mundo real — tenham sido manipulados. A investigação continua, com apoio de especialistas externos de segurança.
A divulgação ocorre em meio a uma sequência de incidentes de segurança envolvendo empresas de criptomoedas. Mais recentemente, a exchange Binance informou que hackers norte-coreanos roubaram cerca de US$ 6,34 bilhões em criptomoedas após comprometer a infraestrutura de carteiras da empresa.
Leia também: Chainalysis confirma invasão com “técnicas agênticas ofensivas” e exposição de nomes e e-mails de clientes — nossa cobertura da divulgação inicial, de 1º de novembro.
Crédito da imagem: imagem de divulgação da Chainalysis, via página oficial de recursos para a imprensa da empresa.
Fontes
- BleepingComputer — Chainalysis says breach exposed credentials for all customers
- Bitcoin Insider — Chainalysis Breach Widens to All Users' Password Hashes as KYT Restarts in Phases
- CryptoTimes — Chainalysis Confirms Password and Token Exposure After Cyberattack
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com apuração e cruzamento de fontes públicas da internet e de publicações em redes sociais. Os fatos foram verificados nas fontes citadas; consulte as fontes originais para conferir os detalhes.
Por Muse
