Chainalysis zufolge haben die Angreifer Passwort-Hashes und Live-Token für jeden Nutzer erbeutet

Chainalysis versicherte seinen Kunden eine Woche lang, der Schaden sei gering. Doch dann stellte sich heraus, dass dies nicht der Fall war.

In einer aktualisierten Meldung zu dem Vorfall erklärte das Blockchain-Analyseunternehmen diese Woche, dass Namen, Benutzernamen, Passwort-Hashes und aktive Authentifizierungstoken aller seiner Nutzer einem Angreifer zugänglich gemacht worden seien. WuBlockchain wies am 6. November auf X auf die Aktualisierung hin und fügte den Teil hinzu, der am meisten schmerzt: Durch eine separate Angriffsmethode seien auch einige Passwörter im Klartext durchgesickert.

Von „nicht sensibel“ zu „alles“

Chainalysis ging am 30. Oktober an die Öffentlichkeit. In seinem Beitrag zum Sicherheitsvorfall hieß es, ein externer Akteur habe „offensive agentische Techniken“ eingesetzt, um in seine Systeme und internen Tools einzudringen. Zu diesem Zeitpunkt handelte es sich bei den offengelegten Daten um Nutzer-IDs, vollständige Namen, E-Mail-Adressen und Bezeichnungen der Rollen innerhalb der Organisation. Das Unternehmen bezeichnete diese Daten als nicht sensibel und erklärte, es habe keine Anzeichen für einen Zugriff auf Ermittlungsinhalte, Anmeldedaten oder Sitzungstoken gefunden. Außerdem betonte es zweimal, dass der Vorfall nichts mit dem Diebstahl bei Binance zu tun habe.

Fünf Tage später brach dieses Bild zusammen. Chainalysis teilte mit, am Montag, dem 2. November, entdeckt zu haben, dass ein umfangreicherer Datensatz offengelegt worden war, und Cointelegraph berichtete, dass das Unternehmen diese Änderung erstmals am Mittwoch beschrieben habe. Einem separaten Update zufolge hatte laut BleepingComputer ein „On-Path-Angriff“ – also ein Man-in-the-Middle-Angriff – einen Teil der Kundenpasswörter offengelegt. Das Unternehmen gibt an, dass dieser Angriffsvektor nun unter Kontrolle sei.

Ein Datum stimmt jedoch nicht überein. Cybernews datiert die Entdeckung auf Mittwoch, den 4. November. Die von Cointelegraph und BleepingComputer zitierte Formulierung von Chainalysis selbst spricht hingegen von Montag.

Was ein „Live-Token“ bedeutet

Passwort-Hashes sind verschlüsselt und nicht lesbar, können jedoch geknackt werden, sodass jeder Nutzer, der ein Passwort mehrfach verwendet hat, auch an anderer Stelle gefährdet ist. „Live-Token“ sind die größere Sorge. Wie American Banker erklärte, ermöglicht ein Token einer Person oder einem Programm, als angemeldeter Nutzer zu agieren, ohne ein Passwort einzugeben. Chainalysis hat nicht mitgeteilt, was ein Angreifer damit sehen oder ändern könnte. Das Unternehmen lehnte es zudem ab, Cointelegraph über die veröffentlichte Mitteilung hinaus weitere Informationen zu geben, und hat nicht bekannt gegeben, ob der Angreifer gesperrt wurde.

Der Ausfall

Als Erstes wurden „Reactor“, das Ermittlungstool, und „Data Solutions“, das Daten von Chainalysis in die eigenen Systeme der Kunden einspeist, offline geschaltet. Später, nachdem ungewöhnliche Aktivitäten festgestellt worden waren, nahm das Unternehmen laut The Hacker News KYT – sowohl die Benutzeroberfläche als auch die API – sowie die Adressprüfung und die Anmeldeseite vom Netz. Betroffene Konten wurden gesperrt. Für einige Nutzer war sogar eine Passwortzurücksetzung noch nicht möglich.

Die Wiederherstellung des Zugriffs erfordert eine IP-Whitelist, eine Passwortzurücksetzung und eine API-Schlüsselrotation für jeden Nutzer. KYT und die Adressüberprüfung standen an erster Stelle. Für Reactor und Data Solutions gibt es noch keinen Termin für die Wiederaufnahme des Betriebs.

Für ein Compliance-Team, das Einzahlungen mittels KYT überprüft, ist das eine üble Woche. Zu den Kunden zählen Strafverfolgungsbehörden, Regierungsbehörden, Banken, Versicherer und Krypto-Unternehmen, wie BleepingComputer anmerkt. Bei einigen von ihnen fiel ein zentrales Überprüfungstool aus, während sie auf Antworten warteten.

Die entscheidende Zeile

Chainalysis betont immer wieder, dass es keine Beweise dafür gibt, dass auf Ermittlungsdaten zugegriffen wurde oder dass seine Zuordnungsdaten manipuliert wurden. Zuordnungsdaten sind das, was Adressen mit realen Entitäten verknüpft, und wenn jemand sie unbemerkt bearbeiten könnte, würde jede darauf aufbauende Spur verdächtig werden. Daher hat diese Behauptung großes Gewicht.

Ich würde sie dennoch sorgfältig lesen. „Keine Beweise“ war auch die Position des Unternehmens am 30. Oktober in Bezug auf Zugangsdaten und Token. American Banker wies darauf hin, dass die umfassenderen Offenlegungen fünf Tage nach dieser Erklärung erfolgten. Das macht die aktuelle Behauptung nicht falsch. Es bedeutet jedoch, dass die Ermittlungen noch andauern.

Der KI-Aspekt

Chainalysis gibt an, einen branchenweiten Anstieg KI-gesteuerter Angriffe zu beobachten. Das Unternehmen hat nicht mitgeteilt, welches Tool verwendet wurde, wie lange sich der Angreifer im System befand oder welche Schwachstellen ausgenutzt wurden. Teiss merkte an, dass unklar sei, ob der Angreifer ein Framework wie ARTEX oder maßgeschneiderte Agenten eingesetzt habe.

Der allgemeine Trend ist jedoch real. The Hacker News listet Chainstack, OpenCode, Warp und WorkOS unter den Unternehmen auf, die kürzlich KI-gesteuerte Angriffe gemeldet haben. Microsoft beschrieb eine Kampagne, bei der ein Agent innerhalb von etwa fünf Minuten zunächst GitHub nach offengelegten Geheimnissen durchsuchte und anschließend Daten aus dem Azure Key Vault extrahierte. Es gibt keine öffentlichen Hinweise, die diese Kampagne mit Chainalysis in Verbindung bringen.

Eine schlechte Woche für die Kryptosicherheit

Der Zeitpunkt ist ungünstig. Binance verlor bei einem Angriff am 29. Oktober rund 6,3 Milliarden US-Dollar, und Chainalysis gehörte zu den Firmen, die der Community dabei halfen, herauszufinden, wer dahintersteckte. Diese Woche widerriefen Binance und Deribit zudem alle API-Schlüssel, die mit der Handelsplattform SignalPlus verbunden waren, nachdem diese ein Sicherheitsproblem gemeldet hatte. SignalPlus teilte später mit, dass eine gefälschte Microsoft-Teams-Einladung den Computer eines Ingenieurs kompromittiert habe, und bezifferte die Verluste auf unter 82.000 US-Dollar. Sowohl Binance als auch Deribit gaben an, dass ihre eigenen Systeme nicht betroffen seien, und Changpeng Zhao forderte Händler auf, SignalPlus-Schlüssel auf anderen Börsen zu widerrufen.

Keiner dieser Vorfälle steht in Zusammenhang mit Chainalysis. Zusammen zeigen sie jedoch, wie stark die Sicherheit dieser Branche mittlerweile von Anmeldungen, Tokens und API-Schlüsseln abhängt, die sich im Besitz Dritter befinden.

Was sollten Nutzer tun?

Chainalysis-Kunden sollten mit einem erzwungenen Reset rechnen und alle API-Schlüssel ändern, nach denen das Unternehmen fragt. Wenn Sie Ihr Chainalysis-Passwort an anderer Stelle wiederverwendet haben, ändern Sie es dort ebenfalls. Behandeln Sie jede unerwartete E-Mail zum Passwort-Reset oder jede Authentifizierungsaufforderung als böswillig – genau das hat Chainalysis seinen eigenen Nutzern empfohlen.

Noch unbeantwortet: Wie viele Kundenkonten wurden kompromittiert, ist der Angreifer bereits aus dem System entfernt und wann wird Reactor wieder verfügbar sein?