Chainalysisは、金融機関や捜査機関が不審な暗号資産取引を追跡できるよう支援している。今回、同ブロックチェーン分析企業は、ユーザーに関連するパスワードハッシュと有効なトークンが攻撃者によって流出したと明らかにし、顧客がどの程度安全にアカウントへアクセスできるのかに疑問を投げかけている。
Chainalysisは情報開示を拡大し、すべてのユーザーに関連する情報が流出したと説明した。ただし、記載されたデータカテゴリーのすべてが全員について流出したのかどうかは明らかにしていない。同社の初期評価では、認証情報やセッショントークンが流出した証拠は見つからなかった。また、一部のKnow Your Transaction（KYT）アカウントへの不正アクセスの可能性を指摘し、複数の製品を停止した。同社のツールを暗号資産の送金審査に利用している顧客にとって、今回のインシデントはアカウントのセキュリティーリスクと監視上の問題の両方を生じさせる。
Chainalysis、顧客プロフィールを超える情報漏えいの調査結果を公表
Chainalysisは11月4日のセキュリティー更新で、攻撃者が全ユーザーに関連する氏名、ユーザー名、パスワードハッシュ、有効なトークンを流出させたと説明した。初回の通知では、ユーザーID、メールアドレス、組織内での役割へのアクセスが記載されていたが、認証情報やセッショントークンが流出した証拠は見つからなかったとしている。
Chainalysisはまた、ユーザーとサービス間の通信を傍受する「オンパス攻撃」によって、一部の顧客のパスワードが流出したと説明した。同社は影響を受けたアカウントをロックし、その攻撃手法は封じ込め、対策を完了したと述べている。さらに、KYTで異常な活動を検知した。
「KYTアカウントに不正アクセスされたとみられる顧客には、直接通知しています」と同社は述べた。
パスワードハッシュは平文のパスワードではなく、リスクはその保護方法に左右される。有効なトークンは、認証に利用できる場合には別の問題を引き起こす可能性がある。The Recordによると、同社はハッシュ化方式やトークンの機能、データカテゴリーのすべてが全ユーザーについて流出したのかどうかを明らかにしていない。
Chainalysisは、調査データにアクセスされた証拠や、ブロックチェーンの帰属データが改ざんされた証拠はないと説明した。また、今回の情報漏えいは最近の Binanceの暗号資産窃盗とは無関係だと述べた。
KYTの停止でコンプライアンスチームは審査の空白を確認する必要に迫られる
Chainalysisは異常な活動を検知した後、KYTのインターフェースとAPI、Address Screening、ログインページをオフラインにした。Reactor、Data Solutions、Chain（Beta）も利用できなくなった。11月4日の更新でChainalysisは、信頼済みIPの許可リストを通じて11月5日にKYTとAddress Screeningの復旧を開始し、その後ユーザーがパスワードをリセットしてAPIキーをローテーションできるようにする予定だと説明した。
この KYTプラットフォームは、入出金される暗号資産の送金リスクを評価し、不審な取引をチームに警告する。取引記録が改ざんされた証拠がない場合でも、停止によって取引所の日常的な取引審査が中断される可能性がある。
セキュリティーおよびコンプライアンスチームは、利用できなかったチェック項目を特定し、審査の空白の可能性を記録するとともに、サービス復旧後に影響を受けた送金を確認すべきだ。公式の Chainalysisのステータスページを確認し、発表された復旧スケジュールどおりに復旧したと決めつけてはならない。
影響を受けたChainalysisの顧客が今すべきこと
Chainalysisは、必要に応じてユーザーにパスワードのリセットとAPIキーのローテーションを行うよう指示している。11月4日の更新で同社は、アカウントへのログインが一時的に利用できず、その時点では顧客がChainalysisのパスワードをリセットできなかったと説明した。
影響を受けた組織は、Chainalysisが確認済みの指示に従い、変更を行う前に公式サービスのステータスを監視すべきだ。セキュリティーチームは、流出した認証情報が不正アクセスに使われたかどうかも調査する必要がある。
暗号資産取引の監視をChainalysisに依存している組織は、アカウントのセキュリティーとサービス停止によって生じた空白の両方に対応すべきだ。
- アカウントを保護し、不審な活動を確認する：パスワードのリセットが可能になったら、ユーザーは固有のパスワードを設定し、他のサービスで使い回している認証情報も変更すべきだ。管理者は、見慣れないデバイスやIPアドレス、アカウント変更がないか、利用可能なログイン履歴を確認する必要がある。
多要素認証は有効にしておくべきだが、チームは既存のセッションが無効化されたかどうかも確認すべきだ。 悪意のあるChatGPTブラウザー拡張機能を使った攻撃は、新たなログインなしに、盗まれたセッショントークンによってアカウントがさらされる可能性を示している。パスワードリセットの手順には、迷惑メールではなくChainalysisの公式チャネルからアクセスすべきだ。
- トークン、APIキー、接続済みアプリケーションを監査する：セキュリティーチームは、自動取引監視ツール、社内アプリケーション、サービスアカウントなど、Chainalysisに接続されているすべてのシステムを特定すべきだ。権限とアクティビティーログを確認し、予期しないリクエストやアクセスパターンがないか調べる必要がある。
APIキーは、Chainalysisが確認した復旧手順に従って失効させ、置き換えるべきだ。チームは、侵害された疑いのあるキーの失効を優先し、影響を受けた連携を復旧する間は承認済みの事業継続手順を利用する必要がある。組織は、流出したトークンが引き続き有効なのか、失効しているのかについても説明を求めるべきだ。
- 取引審査の空白に対応する：KYTを利用している取引所や金融機関は、どの監視機能が利用できなかったのかを特定し、停止中に処理された取引を洗い出すべきだ。コンプライアンスチームは、承認済みの代替審査手順を適用し、リスクの高い送金を手動審査に回し、サービス停止中に行った判断の記録を保存する必要がある。
通常の運用が再開したら、影響を受けた取引と未処理のアラートを確認し、通常の審査を逃れた可能性のある活動を特定すべきだ。
パスワードをリセットするだけでは、認証トークンの流出に伴うリスクをなくせない可能性がある。一部の フィッシングキャンペーンは有効なセッショントークンを窃取することで、ユーザーが認証した後にアカウントへアクセスする。Chainalysisは、流出したトークンが同じ方法で使えるかどうかを確認しておらず、その機能と失効状況は顧客にとって重要な問題となっている。
組織は、調査が続く間、関連する認証ログ、APIのアクティビティー記録、Chainalysisからの通信も保存すべきだ。不正アクセスの証拠は、影響を受けたサービスが稼働していた期間と照らし合わせて活動を確認するまで明らかにならない可能性がある。
Chainalysisが流出したトークンの機能、KYTアカウントへの不正アクセスの範囲、既存のセッションが無効化されたかどうかを明らかにするまで、顧客はパスワードをリセットしたからといってインシデントが解決したと考えず、引き続きアカウントを監視すべきだ。
詳しく読む：盗まれたセッションによって、攻撃者はパスワードを知らなくてもアカウントにアクセスできる。 インフォスティーラー型マルウェアがClaudeのセッションを乗っ取る仕組みと、アカウントアクセスの取り消しと併せて影響を受けたデバイスを保護することが重要な理由を解説する。