Blockchainanalysebedrijf Chainalysis heeft bevestigd dat aanvallers toegang hebben gehad tot gegevens van alle klanten. Het gaat volgens het bedrijf onder meer om namen, e-mailadressen, gebruikersnamen, wachtwoordhashes en live tokens. Naar aanleiding van de aanval reset Chainalysis de wachtwoorden van alle klanten, maar nieuwe wachtwoorden kunnen nog niet worden ingesteld zolang de betrokken diensten offline blijven.
Bevestigd: gegevens van alle klanten geraakt
Chainalysis is een leverancier van blockchainanalyse en wordt onder meer ingezet bij onderzoek naar cryptodiefstal en fraude. Het bedrijf zegt samen te werken met toezichthouders, opsporingsdiensten en andere autoriteiten. Juist door die positie is een incident bij de leverancier gevoelig: klanten gebruiken de diensten in een domein waar transactiemonitoring, onderzoek en financiële opsporing centraal staan.
Op 30 oktober meldde Chainalysis via de eigen website dat het door een cyberaanval was getroffen. Op dat moment stelde het bedrijf nog dat er geen aanwijzingen waren dat aanvallers toegang hadden gekregen tot credentials, onderzoeken of tokens. Wel haalde Chainalysis verschillende klantdiensten offline, naar eigen zeggen uit voorzorg en vanwege de aanval.
In een latere update maakte het bedrijf bekend dat de situatie ernstiger is dan eerder gemeld. Aanvallers hadden toegang tot bepaalde gegevens van alle klanten. De opgesomde datacategorieën zijn relevant: namen en e-mailadressen raken direct aan persoonsgegevens, gebruikersnamen kunnen worden gebruikt in gerichte aanvallen, wachtwoordhashes kunnen onder omstandigheden worden aangevallen met kraakpogingen en live tokens kunnen toegang vertegenwoordigen zolang ze geldig zijn. Uit de beschikbare informatie blijkt niet of de aanvallers de gegevens ook daadwerkelijk hebben misbruikt.
Wachtwoordreset, maar diensten nog offline
Chainalysis heeft besloten om de wachtwoorden van alle klanten te resetten. Klanten kunnen echter nog geen nieuw wachtwoord aanmaken, omdat de betreffende diensten nog steeds offline zijn. Wanneer die diensten weer beschikbaar komen, is niet bekendgemaakt.
Het bedrijf meldt daarnaast dat het klanten gaat informeren van wie het Know-Your-Transaction-account, afgekort KYT, door de aanvaller is gecompromitteerd. KYT is een dienst waarmee bedrijven cryptotransacties kunnen monitoren. Daarmee kan het incident specifiek gevolgen hebben voor organisaties die deze monitoring gebruiken binnen compliance-, fraude- of opsporingsprocessen.
Hoe de aanval precies heeft kunnen plaatsvinden, is niet bekendgemaakt. Chainalysis zegt de systemen te beveiligen, maar deelt in de beschikbare informatie geen technische oorzaak, aanvalspad of kwetsbaarheid. Ook is niet duidelijk of het ging om een externe kwetsbaarheid, misbruik van accounts, een fout in de infrastructuur of een andere aanvalsvector.
Waarom dit incident opvalt
Het datalek raakt een bedrijf dat juist actief is in het analyseren van blockchaintransacties en het ondersteunen van onderzoeken naar misbruik binnen de cryptosector. Voor klanten is niet alleen de aard van de gelekte gegevens relevant, maar ook de context waarin Chainalysis-diensten worden gebruikt. Organisaties die cryptotransacties monitoren, doen dat vaak vanwege risico’s rond fraude, witwassen, sanctienaleving of opsporing.
De bevestiging dat live tokens en wachtwoordhashes onder de toegankelijke gegevens vallen, maakt het incident technisch belangrijker dan een standaard melding van gelekte contactgegevens. Een wachtwoordhash is niet hetzelfde als een leesbaar wachtwoord, maar de sterkte van de hashingmethode en de kwaliteit van gekozen wachtwoorden bepalen mede hoeveel risico eraan verbonden is. Over de gebruikte hashingtechniek is in de beschikbare informatie niets gemeld.
Ook live tokens verdienen aandacht. Tokens worden in veel systemen gebruikt om sessies, API-toegang of andere vormen van authenticatie mogelijk te maken. De broninformatie vermeldt niet waarvoor de tokens bij Chainalysis precies dienden of of ze zijn ingetrokken. Wel blijkt dat het bedrijf diensten offline heeft gehaald en alle klantwachtwoorden reset.
Analyse: communicatie onder druk
Het verloop van de melding laat zien hoe lastig incidentcommunicatie kan zijn. Op 30 oktober meldde Chainalysis nog dat er geen aanwijzingen waren voor toegang tot credentials, onderzoeken of tokens. Enkele dagen later bevestigde het bedrijf dat aanvallers toch toegang hadden tot klantgegevens, waaronder wachtwoordhashes en live tokens. Dat hoeft niet te betekenen dat de eerste melding onjuist was op basis van de toen beschikbare informatie, maar het onderstreept wel dat forensisch onderzoek tijdens een lopend incident tot nieuwe conclusies kan leiden.
Voor organisaties die afhankelijk zijn van Chainalysis is vooral van belang welke diensten offline zijn, wanneer die terugkeren en welke accounts of KYT-omgevingen daadwerkelijk zijn gecompromitteerd. Die details zijn op basis van de beschikbare informatie nog niet bekend. Daarmee blijft de operationele impact voorlopig onzeker, ook al is het datalek zelf door het bedrijf bevestigd.
Bron: security.nl
