Blockchainanalysebedrijf Chainalysis heeft gemeld dat aanvallers gevoelige klantgegevens van alle gebruikers hebben buitgemaakt. Het gaat volgens het bedrijf om namen, gebruikersnamen, wachtwoordhashes en live tokens. De melding volgt op eerdere communicatie waarin Chainalysis nog sprak over toegang tot onder meer gebruikers-ID’s, volledige namen, e-mailadressen en organisatierollen binnen zijn platform.
Wat Chainalysis heeft bevestigd
Chainalysis maakte vorige week vrijdag bekend dat het in oktober doelwit was van een cybersecurity-incident. Het bedrijf omschreef de aanval als vergelijkbaar met aanvallen op andere platforms in dezelfde maand. Volgens Chainalysis gebruikte een externe actor offensieve technieken die werden ondersteund door AI-agenten om ongeautoriseerde toegang te krijgen tot systemen en interne tools.
In een latere update op woensdag stelde het bedrijf dat de aanval onderdeel was van een “multifront” cyberaanval. Een deel daarvan bestond uit een zogenoemde on-path attack, waarbij aanvallers verkeer kunnen onderscheppen via infrastructuur tussen communicerende partijen. Chainalysis meldde dat hierdoor een subset van klantwachtwoorden is blootgesteld en dat de betreffende aanvalsvector is geïdentificeerd en verholpen.
Later diezelfde dag volgde een bredere en zwaardere conclusie: een onderzoek dat volgens Chainalysis op maandag was afgerond, had uitgewezen dat bepaalde klantinformatie, waaronder namen, gebruikersnamen, wachtwoordhashes en live tokens van alle Chainalysis-gebruikers, aan een kwaadwillende actor was blootgesteld.
Impact op diensten en klanten
Chainalysis zegt abnormale activiteit te hebben gedetecteerd. Als reactie haalde het bedrijf zijn inlogpagina offline, evenals de know-your-transactiondienst KYT, die dreigingen rond cryptobezittingen in realtime monitort. Ook werd de toegang tot Reactor en Data Solutions verwijderd.
In een update op vrijdag meldde Chainalysis dat het was begonnen met het gefaseerd herstellen van klanttoegang tot KYT en Address Screening. Het bedrijf verwachtte dat meer klanten daarna weer toegang zouden krijgen. Klanten is gevraagd vertrouwde IP-adressen aan te leveren zodat die op een allowlist kunnen worden geplaatst. Daarnaast moeten zij zich voorbereiden op het opnieuw instellen van inloggegevens zodra zij weer toegang krijgen. Die credential-rotatie is volgens Chainalysis verplicht.
Het bedrijf stelt dat het onderzoek tot dusver geen bewijs heeft opgeleverd dat onderzoeksdata is ingezien of dat Chainalysis-attributiedata is gemanipuleerd. Dat onderscheid is belangrijk: het bevestigt de diefstal van accountgerelateerde gegevens, maar niet dat inhoudelijke onderzoeksgegevens of toewijzingen binnen het platform zijn gewijzigd.
Waarom dit incident gevoelig ligt
Chainalysis is een belangrijke speler in blockchainanalyse en cryptotransactiemonitoring. Publiek bekende klanten omvatten onder meer overheidsdiensten en grote private organisaties. In de beschikbare informatie worden onder meer de FBI, de Amerikaanse immigratie- en douanedienst ICE, de US Air Force, Microsoft, Coinbase en Barclays genoemd.
Juist die klantenkring maakt het incident relevant buiten de cryptosector. Live tokens kunnen, afhankelijk van hun functie en geldigheid, een risico vormen voor accounttoegang of sessiemisbruik. Wachtwoordhashes zijn geen platte wachtwoorden, maar kunnen bij zwakke wachtwoorden of onvoldoende sterke hashing alsnog waardevol zijn voor aanvallers. De broninformatie maakt niet duidelijk welk hash-algoritme of welke aanvullende bescherming is gebruikt.
Analyse: belangrijke vragen blijven open
Bevestigd is dat Chainalysis spreekt over AI-agent-assisted offensieve technieken, een on-path attack en blootstelling van gegevens van alle gebruikers. Minder duidelijk is hoe deze onderdelen technisch samenhangen. Het bedrijf heeft niet toegelicht welke AI-agenten zijn ingezet, welke taken zij uitvoerden of hoe zij hebben bijgedragen aan de inbraak.
Ook rond de on-path attack blijven essentiële details ontbreken. Chainalysis heeft niet gezegd waar de gecompromitteerde infrastructuur zich bevond en evenmin of het onderschepte verkeer via TLS was versleuteld. Zonder die informatie is moeilijk te beoordelen hoeveel bruikbare data via die route daadwerkelijk kon worden buitgemaakt. Als aanvallers versleuteld verkeer konden ontsleutelen, zou dat kunnen wijzen op een veel dieper infrastructuurprobleem, maar dat is op basis van de bevestigde informatie niet vast te stellen.
Verder is onduidelijk waarom Chainalysis de bredere blootstelling van gegevens van alle gebruikers pas op woensdag meldde, terwijl het bedrijf aangeeft dat het onderzoek dit op maandag had vastgesteld. Een vertegenwoordiger van Chainalysis liet weten dat het bedrijf geen verdere toelichting geeft buiten de eigen gepubliceerde updates.
Betekenis voor organisaties
Voor organisaties die Chainalysis gebruiken, draait de directe opvolging om toegangscontrole en credentialbeheer. Chainalysis heeft zelf aangegeven dat klanten vertrouwde IP-adressen moeten aanleveren voor allowlisting en dat credential-rotatie verplicht is zodra toegang wordt hersteld. Het incident onderstreept daarnaast het belang van zicht op tokens, sessies en externe platformkoppelingen, zeker bij diensten die worden gebruikt voor compliance, opsporing of cryptotransactiemonitoring.
Bron: arstechnica.com
