攻撃者が、Web3プロバイダーの大手Chainstackを支える中核インフラに侵入しました。侵入者は社内環境に入り込み、暗号化されたパスワードハッシュを含む機密性の高い顧客データベースにアクセスしました。経営陣は、この侵入を自動化されたAIエージェントによる大規模なキャンペーンの一環だとみています。同社は、プラットフォームを利用するすべての開発者に対し、アクセス認証情報をただちにローテーションするよう呼びかけました。分散型アプリケーションの運営者は、接続するブロックチェーンのワークフローを守るため、早急なセキュリティ対応が必要になります。
インフラへの侵入とインシデントの経緯
Chainstackは、EthereumやSolanaなど主要な分散型ネットワーク向けに、基盤となるノードインフラを提供しています。開発者は、台帳のトランザクションを確実にブロードキャストするため、同社が管理するAPI（Application Programming Interface）に依存しています。そのため、認証情報が盗まれれば、顧客アカウントだけでなく、その基盤上で動く分散型アプリケーションも脅かされます。
侵入が始まったのは2026年10月26日です。攻撃者はサードパーティの依存関係を経由して開発環境に侵入しました。3日後には、境界を越えて横展開し、本番環境の一部に到達しています。Chainstackのセキュリティチームは10月31日に不正なアクセスを検知し、悪意ある経路をただちに遮断しました。同社は11月2日にフォレンジック調査を終え、11月3日に公式発表を行いました。
データベースの流出とノード認証情報の侵害
攻撃者は侵入期間中に、機密性の高い顧客情報を保存した中核データベースにアクセスしました。流出した可能性のある情報は、企業名、アカウント所有者名、従業員のメールアドレス、ハッシュ化されたパスワードです。Chainstackはデータが外部に持ち出された可能性を認めていますが、盗まれた記録の件数は明らかにしていません。
さらに今回のインシデントは、ブロックチェーンのノードにアクセスするための暗号鍵や認証情報にも深刻なリスクをもたらしました。侵入者は、エンジニアがプラットフォームのアクセス用シークレットを保管していた運用システムに到達しています。調査では、これらを直接読み取った形跡は確認されていません。それでも同社は、すべてのノードキーが侵害されたものとして扱っています。こうしたシークレットがあれば、ソフトウェアクライアントは正規のアカウント権限でリモートのノードサービスを呼び出せます。
攻撃元をめぐる見立てと運用の健全性
Chainstackは、今回の侵害を、自律型のAIツールを使う新たな脅威キャンペーンと結び付けています。セキュリティアナリストは最近、自動化フレームワークが200を超える企業を標的にした大規模な「ARTEX」作戦について詳しく報告しました。ただしChainstackは、今回の侵害を特定のAPT（高度で持続的な脅威）グループに結び付ける決定的なフォレンジック上の証拠は示していません。
重要なのは、この侵入によって中核のトランザクションシステムとクライアントのエンドポイントが一切改ざんされなかった点です。ブロックチェーンノード、管理コンソール、外部APIは、継続して利用可能な状態を保ちました。また、同プラットフォームは生の決済データを保持していないため、攻撃者が金融決済の記録にアクセスすることもありませんでした。
対処手順とサプライチェーン侵害への備え
Chainstackの公式セキュリティインシデント報告で、同社は利用者にすべての認証用シークレットを更新するよう指示しました。管理者は、アカウントのパスワード、ノードのアクセスキー、プラットフォームのAPIトークンを、管理ダッシュボードから直接更新できます。シークレットのローテーションは、稼働中のアプリケーションのトラフィックを止めることなく実施できます。同社は、今後想定されるスピアフィッシング攻撃にも警戒するよう、顧客に呼びかけています。
今回の混乱は、クラウドデプロイ事業者Railwayで最近起きたインフラ侵害とよく似ています。2件の事例は、ネットワークから侵入者を排除するだけでは、企業のソフトウェアエコシステムの安全は一部しか確保できないことを示しています。クラウド事業者やインフラ事業者が侵害を受けた場合、下流のテナントは認証情報を網羅的に見直さなければなりません。シークレットを先回りしてローテーションしておけば、侵害された上流の依存関係によって、分散型の本番環境が損なわれる事態を防げます。
翻訳元: https://meterpreter.org/chainstack-security-incident/
