Chainalysis aide les institutions financières et les enquêteurs à suivre les transactions suspectes en cryptomonnaies. L’entreprise d’analyse de blockchain affirme désormais que des attaquants ont exposé des hachages de mots de passe et des jetons actifs associés à ses utilisateurs, ce qui soulève des questions sur la sécurité avec laquelle les clients peuvent accéder à leurs comptes.
Dans une mise à jour détaillée, Chainalysis a déclaré que des informations associées à l’ensemble de ses utilisateurs avaient été exposées, sans préciser si chaque catégorie de données répertoriée concernait effectivement chaque personne. Son évaluation initiale n’a révélé aucun élément indiquant une exposition d’identifiants ou de jetons de session. L’entreprise a également signalé un possible accès non autorisé à certains comptes Know Your Transaction (KYT) et suspendu plusieurs produits. Pour les clients qui dépendent de ses outils pour filtrer les transferts de cryptomonnaies, l’incident constitue à la fois un risque pour la sécurité des comptes et un problème de surveillance.
Chainalysis étend ses conclusions sur la faille au-delà des profils clients
Dans sa mise à jour de sécurité du 4 novembre, Chainalysis a déclaré qu’un attaquant avait exposé les noms, noms d’utilisateur, hachages de mots de passe et jetons actifs associés à tous les utilisateurs. Son premier avis faisait état d’un accès aux identifiants utilisateur, aux adresses e-mail et aux rôles organisationnels, mais ne relevait aucun élément indiquant une exposition d’identifiants ou de jetons de session.
Chainalysis a également déclaré qu’une « attaque par interception », qui intercepte les communications entre les utilisateurs et un service, avait exposé les mots de passe de certains clients. L’entreprise a verrouillé les comptes concernés et indiqué que cette méthode d’attaque avait été contenue et corrigée. Elle a également détecté une activité anormale sur KYT.
« Nous informons directement les clients dont les comptes KYT semblent avoir été consultés sans autorisation », a déclaré l’entreprise.
Les hachages de mots de passe ne sont pas des mots de passe en clair, et le risque dépend de la manière dont ils ont été sécurisés. Les jetons actifs pourraient poser un problème différent s’ils peuvent servir à l’authentification. Selon The Record, l’entreprise n’a pas indiqué quelle méthode de hachage elle utilisait, à quoi servaient les jetons ni si chaque catégorie de données concernait effectivement chaque utilisateur.
Chainalysis a déclaré ne disposer d’aucun élément indiquant que des données d’enquête avaient été consultées ou que des données d’attribution blockchain avaient été manipulées. Elle a également affirmé que sa faille n’était pas liée au récent vol de cryptomonnaies chez Binance.
La mise hors ligne de KYT contraint les équipes de conformité à examiner les lacunes du filtrage
Chainalysis a mis hors ligne l’interface et l’API de KYT, Address Screening ainsi que sa page de connexion après avoir détecté une activité anormale. Reactor, Data Solutions et Chain (Beta) étaient également indisponibles. Dans sa mise à jour du 4 novembre, Chainalysis a déclaré vouloir commencer à rétablir KYT et Address Screening le 5 novembre au moyen d’une liste blanche d’adresses IP approuvées, puis permettre aux utilisateurs de réinitialiser leurs mots de passe et de renouveler leurs clés API.
La plateforme KYTévalue le risque associé aux transferts de cryptomonnaies entrants et sortants et alerte les équipes en cas de transactions suspectes. Une interruption peut perturber les contrôles habituels des transactions d’une plateforme d’échange, même sans preuve que les enregistrements de transactions aient été modifiés.
Les équipes de sécurité et de conformité doivent déterminer quels contrôles étaient indisponibles, documenter les éventuelles lacunes de filtrage et examiner les transferts concernés après le rétablissement du service. Elles doivent consulter la page d’état officielle de Chainalysis plutôt que de supposer que le calendrier de rétablissement annoncé a été respecté.
Ce que les clients de Chainalysis concernés doivent faire maintenant
Chainalysis a demandé aux utilisateurs de réinitialiser leurs mots de passe et de renouveler leurs clés API lorsque cela est nécessaire. Dans sa mise à jour du 4 novembre, l’entreprise a indiqué que les connexions aux comptes étaient temporairement indisponibles, empêchant alors les clients de réinitialiser leurs mots de passe Chainalysis.
Les organisations concernées doivent suivre les instructions vérifiées de Chainalysis et surveiller l’état officiel de ses services avant d’effectuer des changements. Les équipes de sécurité doivent également vérifier si des identifiants exposés ont été utilisés pour obtenir un accès non autorisé.
Pour les organisations qui s’appuient sur Chainalysis pour surveiller les transactions en cryptomonnaies, la réponse doit couvrir à la fois la sécurité des comptes et les éventuelles lacunes créées par les interruptions de service.
- Sécuriser les comptes et examiner les activités suspectes : Une fois les réinitialisations de mots de passe disponibles, les utilisateurs doivent créer des mots de passe uniques et modifier ceux qu’ils réutilisent sur d’autres services. Les administrateurs doivent examiner l’historique des connexions disponible afin de repérer les appareils, adresses IP ou modifications de compte inhabituels.
L’authentification multifacteur doit rester activée, mais les équipes doivent également vérifier si les sessions existantes ont été invalidées. Les attaques impliquant des extensions de navigateur ChatGPT malveillantes montrent comment des jetons de session volés peuvent exposer des comptes sans nouvelle connexion. Les instructions de réinitialisation des mots de passe doivent être consultées via les canaux officiels de Chainalysis, et non dans des e-mails non sollicités.
- Auditer les jetons, les clés API et les applications connectées : Les équipes de sécurité doivent recenser tous les systèmes connectés à Chainalysis, notamment les outils automatisés de surveillance des transactions, les applications internes et les comptes de service. Elles doivent examiner leurs autorisations et leurs journaux d’activité afin de repérer les requêtes ou schémas d’accès inhabituels.
Les clés API doivent être révoquées et remplacées conformément aux instructions de récupération vérifiées de Chainalysis. Les équipes doivent donner la priorité à la révocation des clés suspectées d’être compromises et utiliser les procédures de continuité approuvées pendant le rétablissement des intégrations concernées. Les organisations doivent également demander si les jetons exposés restent valides ou ont été révoqués.
- Remédier aux lacunes du filtrage des transactions : Les plateformes d’échange et les institutions financières qui utilisent KYT doivent déterminer quelles fonctions de surveillance étaient indisponibles et recenser les transactions traitées pendant l’interruption. Les équipes de conformité devront peut-être appliquer des procédures de filtrage alternatives approuvées, soumettre les transferts à risque élevé à un examen manuel et conserver les traces des décisions prises pendant l’indisponibilité du service.
Une fois les opérations normales rétablies, les transactions concernées et les alertes en attente doivent être examinées afin d’identifier les activités qui auraient échappé au filtrage habituel.
La réinitialisation des mots de passe ne suffit pas nécessairement à éliminer les risques associés à des jetons d’authentification exposés. Certaines campagnes d’hameçonnage récupèrent des jetons de session actifs pour accéder aux comptes après l’authentification des utilisateurs. Chainalysis n’a pas confirmé que ses jetons exposés pouvaient être utilisés de la même manière, ce qui fait de leurs capacités et de leur statut de révocation des questions importantes pour les clients.
Les organisations doivent également conserver les journaux d’authentification pertinents, les enregistrements d’activité des API et les communications de Chainalysis pendant la poursuite de l’enquête. Des indices d’accès non autorisé pourraient n’apparaître qu’après comparaison de l’activité avec la période durant laquelle les services concernés fonctionnaient.
Tant que Chainalysis n’aura pas clarifié les capacités des jetons exposés, l’étendue de l’accès non autorisé aux comptes KYT et la question de savoir si les sessions existantes ont été invalidées, les clients doivent continuer à surveiller leurs comptes plutôt que de supposer que l’incident est résolu après une réinitialisation de mot de passe.
En savoir plus : Des sessions volées peuvent permettre à des attaquants d’accéder à des comptes sans connaître le mot de passe. Découvrez comment un logiciel voleur d’informations a détourné des sessions Claude et pourquoi la sécurisation de l’appareil concerné est aussi importante que la révocation de l’accès au compte.