Chainalysis отключила ключевые сервисы после утечки учётных данных

Компания Chainalysis сообщила, что при расследовании продолжающейся кибератаки были раскрыты имена, логины, хеши паролей и действующие токены всех её пользователей. Компания временно сняла доступ к Reactor и Data Solutions, а также отключила интерфейс и API Know Your Transaction (KYT), продукты проверки адресов и страницу входа.

Chainalysis заявила, что пока не нашла свидетельств доступа злоумышленников к данным расследований или изменения собственных данных атрибуции. В компании добавили системы проактивного мониторинга необычной активности и устранили выявленный вектор атаки.

Какие меры ввела Chainalysis

Ранее Chainalysis говорила об «атаках по нескольким направлениям» и выявленном on-path-воздействии, из-за которого была раскрыта часть клиентских паролей. В новом сообщении масштаб инцидента расширен: затронуты данные учётных записей всех пользователей, включая действующие токены.

Компания заблокировала затронутые аккаунты. Пользователи, получившие письмо с требованием изменить пароль Chainalysis, пока не смогут сделать это через сервис: возможность сброса ещё не восстановлена. При этом организация рекомендует сменить пароль в других системах, если он там повторно используется.

Для поэтапного возврата KYT и Address Screening клиентам предложено передать в поддержку или аккаунт-команде доверенные IP-адреса для включения в allowlist. После этого они смогут сбросить пароль и заменить API-ключи, необходимые для регистрации транзакций.

Контекст агентных атак

Инцидент произошёл менее чем через неделю после сообщения Chainalysis о несанкционированном доступе к системам и внутренним инструментам с применением наступательных агентных техник. Компания не раскрыла предполагаемого организатора атаки, но отметила сходство с недавними инцидентами на других технологических платформах.

Microsoft описывала кампанию, в которой атакующие используют агентный ИИ-фреймворк для поиска открытых секретов в публичных репозиториях GitHub: учётных данных, ключей приложений и API-ключей для ИИ-инференса. По оценке Microsoft, такие инструменты ускоряют поиск секретов, анализ результатов и последующие действия без постоянного участия оператора.

В наблюдавшихся случаях агенты входили в Microsoft Entra ID через действительные учётные данные приложений, запрашивали ключи хранилищ, строки подключения, параметры App Service и учётные данные Azure Kubernetes Service. Microsoft также фиксировала доступ скомпрометированных приложений к SharePoint и OneDrive, включая загрузку файлов и обращение к элементам почты.

Что проверить компаниям

Для бизнеса этот случай подчёркивает необходимость разделять пароли между системами, регулярно ротировать API-ключи и токены, а также ограничивать доступ сервисных учётных записей доверенными сетями. При уведомлении поставщика об инциденте важно не ждать штатного сброса пароля, а сразу оценить повторное использование учётных данных и отозвать связанные ключи.