Chainalysis unterstützt Finanzinstitute und Ermittler dabei, verdächtige Kryptowährungstransaktionen nachzuverfolgen. Nun teilt das Blockchain-Analyseunternehmen mit, dass Angreifer mit seinen Nutzern verbundene Passwort-Hashes und aktive Tokens offengelegt haben. Das wirft Fragen dazu auf, wie sicher Kunden auf ihre Konten zugreifen können.
In einer erweiterten Stellungnahme erklärte Chainalysis, dass mit allen Nutzern verbundene Informationen offengelegt wurden, ohne anzugeben, ob jede aufgeführte Datenkategorie für jede Person betroffen war. Bei der ersten Untersuchung habe das Unternehmen keine Hinweise auf offengelegte Zugangsdaten oder Sitzungstokens gefunden. Außerdem meldete es möglichen unbefugten Zugriff auf einige Know-Your-Transaction-(KYT-)Konten und setzte mehrere Produkte außer Betrieb. Für Kunden, die zur Prüfung von Kryptotransfers auf die Tools angewiesen sind, stellt der Vorfall sowohl ein Kontosicherheitsrisiko als auch ein Überwachungsproblem dar.
Chainalysis erweitert Erkenntnisse zum Breach über Kundenprofile hinaus
In seinem Sicherheitsupdate vom 4. November erklärte Chainalysis, dass ein Angreifer mit allen Nutzern verbundene Namen, Benutzernamen, Passwort-Hashes und aktive Tokens offengelegt habe. In der ersten Mitteilung war von Zugriff auf Nutzer-IDs, E-Mail-Adressen und Organisationsrollen die Rede gewesen; Hinweise auf offengelegte Zugangsdaten oder Sitzungstokens habe es jedoch nicht gegeben.
Chainalysis teilte außerdem mit, dass ein „On-Path-Angriff“, bei dem die Kommunikation zwischen Nutzern und einem Dienst abgefangen wird, einige Kundenpasswörter offengelegt habe. Das Unternehmen sperrte die betroffenen Konten und erklärte, diese Angriffsmethode sei eingedämmt und behoben worden. Zudem stellte es ungewöhnliche Aktivitäten bei KYT fest.
„Wir benachrichtigen Kunden direkt, deren KYT-Konten offenbar unbefugt aufgerufen wurden“, das Unternehmen erklärte.
Passwort-Hashes sind keine Klartextpasswörter, und das Risiko hängt davon ab, wie sie geschützt wurden. Aktive Tokens könnten ein anderes Problem darstellen, wenn sie zur Authentifizierung verwendet werden können. Laut The Record hat das Unternehmen seine Hashing-Methode, die Funktion der Tokens oder die Frage, ob jede Datenkategorie für jeden Nutzer offengelegt wurde, nicht bekannt gegeben.
Chainalysis erklärte, es gebe keine Hinweise darauf, dass Untersuchungsdaten abgerufen oder Blockchain-Attributionsdaten manipuliert worden seien. Außerdem teilte das Unternehmen mit, dass sein Breach nichts mit dem kürzlich erfolgten Kryptowährungsdiebstahl bei Binance zu tun habe.
KYT-Abschaltung zwingt Compliance-Teams, Lücken bei der Prüfung zu untersuchen
Chainalysis nahm die KYT-Oberfläche und API, Address Screening sowie seine Anmeldeseite offline, nachdem ungewöhnliche Aktivitäten festgestellt worden waren. Auch Reactor, Data Solutions und Chain (Beta) waren nicht verfügbar. In seinem Update vom 4. November erklärte Chainalysis, man wolle am 5. November damit beginnen, KYT und Address Screening über eine Allowlist vertrauenswürdiger IP-Adressen wiederherzustellen und anschließend Nutzern ermöglichen, Passwörter zurückzusetzen und API-Schlüssel zu wechseln.
Die KYT-Plattform bewertet das Risiko eingehender und ausgehender Kryptotransfers und warnt Teams vor verdächtigen Transaktionen. Ein Ausfall kann die routinemäßige Transaktionsprüfung einer Börse unterbrechen, selbst wenn es keine Hinweise darauf gibt, dass Transaktionsaufzeichnungen verändert wurden.
Sicherheits- und Compliance-Teams sollten feststellen, welche Prüfungen nicht verfügbar waren, potenzielle Lücken bei der Überwachung dokumentieren und betroffene Transfers nach der Wiederherstellung des Dienstes überprüfen. Sie sollten die offizielle Chainalysis-Statusseite prüfen, statt davon auszugehen, dass der angekündigte Zeitplan für die Wiederherstellung eingehalten wurde.
Was betroffene Chainalysis-Kunden jetzt tun sollten
Chainalysis hat Nutzer angewiesen, ihre Passwörter zurückzusetzen und gegebenenfalls API-Schlüssel zu wechseln. In seinem Update vom 4. November erklärte das Unternehmen, dass Kontoanmeldungen vorübergehend nicht verfügbar gewesen seien, sodass Kunden ihre Chainalysis-Passwörter zu diesem Zeitpunkt nicht zurücksetzen konnten.
Betroffene Organisationen sollten die verifizierten Anweisungen von Chainalysis befolgen und den offiziellen Servicestatus überwachen, bevor sie Änderungen vornehmen. Sicherheitsteams sollten außerdem untersuchen, ob offengelegte Zugangsdaten für unbefugten Zugriff verwendet wurden.
Für Organisationen, die bei der Überwachung von Kryptowährungstransaktionen auf Chainalysis angewiesen sind, sollte die Reaktion sowohl die Kontosicherheit als auch etwaige durch die Dienstunterbrechungen entstandene Lücken berücksichtigen.
- Konten absichern und verdächtige Aktivitäten überprüfen: Sobald das Zurücksetzen von Passwörtern wieder möglich ist, sollten Nutzer individuelle Passwörter erstellen und wiederverwendete Zugangsdaten bei anderen Diensten ändern. Administratoren sollten verfügbare Anmeldeverläufe auf unbekannte Geräte, IP-Adressen oder Kontoänderungen überprüfen.
Die Mehrfaktor-Authentifizierung sollte aktiviert bleiben, Teams sollten jedoch auch prüfen, ob bestehende Sitzungen ungültig gemacht wurden. Angriffe mit bösartigen ChatGPT-Browsererweiterungenzeigen, wie gestohlene Sitzungstokens Konten ohne eine erneute Anmeldung offenlegen können. Anweisungen zum Zurücksetzen von Passwörtern sollten über offizielle Chainalysis-Kanäle und nicht über unaufgeforderte E-Mails aufgerufen werden.
- Tokens, API-Schlüssel und verbundene Anwendungen prüfen: Sicherheitsteams sollten jedes mit Chainalysis verbundene System ermitteln, darunter automatisierte Tools zur Transaktionsüberwachung, interne Anwendungen und Dienstkonten. Überprüfen Sie deren Berechtigungen und Aktivitätsprotokolle auf unerwartete Anfragen oder Zugriffsmuster.
API-Schlüssel sollten gemäß den verifizierten Anweisungen von Chainalysis zur Wiederherstellung widerrufen und ersetzt werden. Teams sollten mutmaßlich kompromittierte Schlüssel vorrangig widerrufen und während der Wiederherstellung betroffener Integrationen genehmigte Verfahren zur Aufrechterhaltung des Betriebs verwenden. Organisationen sollten außerdem klären, ob offengelegte Tokens weiterhin gültig sind oder widerrufen wurden.
- Lücken bei der Transaktionsprüfung schließen: Börsen und Finanzinstitute, die KYT nutzen, sollten ermitteln, welche Überwachungsfunktionen nicht verfügbar waren, und die während der Unterbrechung verarbeiteten Transaktionen identifizieren. Compliance-Teams müssen möglicherweise genehmigte alternative Prüfverfahren anwenden, Transfers mit höherem Risiko zur manuellen Prüfung eskalieren und die während des Ausfalls getroffenen Entscheidungen dokumentieren.
Sobald der Normalbetrieb wieder aufgenommen wurde, sollten betroffene Transaktionen und offene Warnmeldungen überprüft werden, um Aktivitäten zu identifizieren, die möglicherweise der routinemäßigen Prüfung entgangen sind.
Das Zurücksetzen von Passwörtern allein beseitigt möglicherweise nicht die mit offengelegten Authentifizierungstokens verbundenen Risiken. Einige Phishing-Kampagnen erbeuten aktive Sitzungstokens und greifen damit auf Konten zu, nachdem sich Nutzer authentifiziert haben. Chainalysis hat nicht bestätigt, dass seine offengelegten Tokens auf dieselbe Weise verwendet werden konnten. Daher sind ihre Fähigkeiten und ihr Widerrufsstatus für Kunden wichtige offene Fragen.
Organisationen sollten außerdem relevante Authentifizierungsprotokolle, Aufzeichnungen der API-Aktivitäten und Mitteilungen von Chainalysis aufbewahren, solange die Untersuchung andauert. Hinweise auf unbefugten Zugriff werden möglicherweise erst sichtbar, wenn die Aktivitäten mit dem Zeitraum abgeglichen werden, in dem die betroffenen Dienste betrieben wurden.
Solange Chainalysis die Fähigkeiten der offengelegten Tokens, das Ausmaß des unbefugten Zugriffs auf KYT-Konten und die Frage, ob bestehende Sitzungen ungültig gemacht wurden, nicht geklärt hat, sollten Kunden ihre Konten weiterhin überwachen, statt nach einem Passwort-Reset davon auszugehen, dass der Vorfall behoben ist.
Mehr dazu: Gestohlene Sitzungen können Angreifern Zugriff auf Konten ermöglichen, ohne dass sie ein Passwort kennen. Erfahren Sie, wie Infostealer-Malware Claude-Sitzungen kapert und warum neben dem Widerruf des Kontozugriffs auch die Absicherung des betroffenen Geräts wichtig ist.