Chainalysis, een belangrijke leverancier van blockchainanalyse voor onder meer opsporingsdiensten, financiële instellingen en cryptobedrijven, heeft gemeld dat gegevens van alle gebruikers zijn blootgesteld bij een cyberaanval. Het bedrijf spreekt over een aanval waarbij een externe actor ongeautoriseerde toegang kreeg tot systemen en interne tools. De exacte aanvalsmethode en de dader zijn niet bekendgemaakt.
Bevestigd: klantinformatie van alle gebruikers geraakt
Chainalysis maakte de meest recente update woensdagavond bekend. Daarin stelt het bedrijf dat bepaalde klantinformatie van alle Chainalysis-gebruikers is blootgesteld aan een kwaadwillende actor. Het gaat volgens de melding om namen, gebruikersnamen, wachtwoordhashes en live tokens.
Het bedrijf had de inbraak eerder, op 30 oktober, al bekendgemaakt. Op dat moment zei Chainalysis nog dat er geen bewijs was gevonden dat authenticatiegegevens of sessietokens waren benaderd. In de nieuwe update is dat beeld bijgesteld: live tokens en wachtwoordhashes worden nu expliciet genoemd als blootgestelde gegevens.
Chainalysis zegt niet of elke genoemde gegevenscategorie voor iedere gebruiker is buitgemaakt. Ook is niet bekend hoeveel gebruikers precies zijn getroffen. Op de eigen website stelt het bedrijf diensten te leveren aan meer dan 1.500 klanten in sectoren zoals rechtshandhaving, cryptovaluta, reguliere financiële dienstverlening, toezichthouders en nationale veiligheid.
Onduidelijkheid over ‘agentic’ technieken
Chainalysis verklaarde eerder dat een externe actor gebruikmaakte van offensieve ‘agentic’ technieken om ongeautoriseerde toegang te krijgen. Het bedrijf heeft niet uitgelegd wat het daar precies onder verstaat. In de eerste communicatie aan klanten verwees Chainalysis naar een bredere toename van AI-gedreven cyberaanvallen in de sector, maar het heeft niet expliciet gezegd dat de eigen aanval door een AI-agent is uitgevoerd.
Die nuance is belangrijk. De term ‘agentic’ wordt in de beveiligingswereld steeds vaker gebruikt voor systemen die taken deels zelfstandig uitvoeren, maar zonder nadere technische uitleg blijft onduidelijk of het hier gaat om geautomatiseerde aanvalshulpmiddelen, AI-ondersteuning of een andere vorm van offensieve automatisering.
Wachtwoordreset en API-sleutels
Chainalysis verplicht alle gebruikers hun wachtwoord opnieuw in te stellen. Daarnaast moeten API-sleutels waar nodig worden geroteerd. Het bedrijf waarschuwt klanten om de inlogpagina rechtstreeks te bezoeken en niet te klikken op links in e-mails voor wachtwoordherstel.
Die waarschuwing past bij het risico op phishing na een datalek. Als aanvallers weten wie klant is bij Chainalysis, kunnen zij gerichtere berichten sturen die inspelen op de lopende resetprocedure. Chainalysis heeft echter geen aanvullende details gegeven over misbruik van de blootgestelde informatie buiten de eigen systemen.
Het bedrijf heeft evenmin toegelicht wat het precies bedoelt met live tokens. Ook is niet gemeld op welke manier de wachtwoorden waren gehasht. Dat is relevant, omdat sommige hashmethoden in de praktijk veel moeilijker te kraken zijn dan andere. Actieve authenticatietokens kunnen, afhankelijk van hun aard en geldigheid, in bepaalde situaties toegang mogelijk maken zonder het oorspronkelijke wachtwoord te kennen.
KYT-accounts en verstoring van diensten
Naast de blootstelling van gebruikersgegevens meldde Chainalysis dat sommige klantaccounts binnen de dienst Know Your Transaction, afgekort KYT, vermoedelijk zijn benaderd. KYT wordt gebruikt om cryptotransacties te controleren op verdachte activiteit.
De melding kwam op een moment dat de verstoring van Chainalysis-diensten toenam. Het bedrijf stelde dat bij sommige klanten wachtwoorden waren blootgesteld via een on-path-aanval. Daarbij onderschept een aanvaller communicatie tussen gebruikers en een dienst. In een bericht aan getroffen klanten werd gesproken over een lopende aanval op meerdere fronten, maar die andere fronten werden niet gespecificeerd.
Volgens Chainalysis is de onderscheppingsmethode ingedamd en verholpen. Getroffen accounts werden vergrendeld en er zou geen bewijs zijn dat die accounts onrechtmatig zijn gebruikt. Kort daarna meldde het bedrijf echter abnormale activiteit en haalde het de gebruikersinterface en API van KYT, andere producten voor address screening en de inlogpagina offline. Klanten die net waren opgedragen hun wachtwoord te wijzigen, konden dat daardoor tijdelijk niet doen.
Onderzoekstools tijdelijk offline
De maatregelen volgden op eerdere beperkingen. Op maandag had Chainalysis uit voorzorg al de onderzoekstool Reactor en het product Data Solutions offline gehaald, terwijl complianceproducten voor transactiemonitoring toen nog beschikbaar bleven. Chainalysis omschrijft die producten als belangrijk voor het opsporen van witwassen binnen het crypto-ecosysteem.
Het bedrijf gaf aan KYT en Address Screening vanaf donderdag gefaseerd te willen herstellen nadat klanten vertrouwde IP-adressen hadden aangeleverd voor een allowlist. Daarna zouden klanten wachtwoorden kunnen resetten en API-sleutels kunnen roteren. Voor Reactor, Data Solutions en Chain (Beta) werd geen hersteldatum genoemd.
Analyse: impact reikt verder dan een regulier datalek
Voor organisaties is dit incident relevant omdat Chainalysis een centrale rol speelt in compliance, opsporing en analyse binnen de cryptosector. Een verstoring van monitoringdiensten kan gevolgen hebben voor partijen die afhankelijk zijn van screening van transacties of blockchainonderzoek. De blootstelling van tokens, hashes en gebruikersidentiteiten vergroot bovendien het risico op accountmisbruik, gerichte phishing en vervolgonderzoek naar toegangsrechten.
Chainalysis zegt op dit moment geen bewijs te hebben dat onderzoeksdata is ingezien of dat attributiedata van het bedrijf is gemanipuleerd. Dat is een belangrijke beperking van de bevestigde schade. Tegelijk blijven er open vragen: het bedrijf heeft niet gezegd of de onderschepping van wachtwoorden, de blootstelling van hashes en tokens en de vermoedelijke ongeautoriseerde toegang tot KYT-accounts door dezelfde aanvaller of via dezelfde methode zijn veroorzaakt.
Bron: therecord.media
