Chainalysis、「エージェント型」手法による不正アクセスで全ユーザーに影響と警告

ブロックチェーン分析企業のChainalysisは水曜日の夜、全ユーザーの情報の一部がサイバー攻撃で流出したと発表しました。同社のウェブサイトによると、ユーザーには法執行機関や国家安全保障分野の組織も含まれています。

同社が最初に不正アクセスを公表したのは10月30日です。ただし当時は、認証情報やセッショントークンにアクセスされた形跡は確認されていないと説明していました。

水曜日の夜に投稿された最新の更新情報で、同社は「全Chainalysisユーザーの氏名、ユーザー名、パスワードハッシュ、有効なトークンなど、一部の顧客情報が悪意ある攻撃者に流出したことが判明した」と明らかにしました。

攻撃者の特定には至っていません。Chainalysisは以前、「攻撃的なエージェント型手法を用いる外部の攻撃者が、同社のシステムや内部ツールに不正にアクセスしたことを検知した」と説明していました。ただし、「攻撃的なエージェント型手法」が具体的に何を指すのかは明らかにしていません。

同社は当初、今回の侵害は「業界全体で進むAI駆動型サイバー攻撃の増加」の中で起きたと顧客に伝えていました。エージェント型手法には最初から言及していたものの、自社への侵害がAIエージェントによるものだとは明言していません。

Chainalysisは、インシデントの調査と防御の強化を支援するため、「世界水準の外部サイバーセキュリティ専門家」に協力を要請したと述べています。

声明では、すべてのユーザーについてあらゆる種類の情報が流出したのかどうかは示されていません。ユーザー数も公表されていません。

同社のウェブサイトによると、Chainalysisは法執行機関、暗号資産、一般の金融、規制当局、国家安全保障などの分野で、1,500社を超える顧客にサービスを提供しています。

同社は水曜日の夜、「現時点でも、捜査データにアクセスされた、あるいはChainalysisのアトリビューションデータが改ざんされたという証拠は確認されていない」と述べました。

同社によると、すべてのユーザーはパスワードをリセットし、必要に応じてAPIキーをローテーションする必要があります。また、影響を受けた顧客に対し、パスワードリセットのメールに記載されたリンクをたどらず、ログインページに直接アクセスするよう呼びかけています。

「有効なトークン」が何を指すのか、流出したパスワードがどのような方式でハッシュ化されていたのかについても、同社は説明していません。パスワードハッシュは、種類によっては解読されて元のパスワードが割り出される恐れがあります。また、有効な認証トークンがあれば、攻撃者はパスワードなしでアカウントにアクセスできる可能性があります。

同社は水曜日の夜、暗号資産取引の不審な動きを監視する「Know Your Transaction（KYT）」サービスの一部顧客のアカウントにもアクセスされた形跡があると明らかにしました。

不正アクセスの疑いは、調査の進展に合わせて同社が更新情報を出す中で、サービス障害が拡大するさなかに公表されました。

同社によると、一部の顧客のパスワードは、攻撃者がユーザーとサービス間の通信を傍受する「オンパス攻撃」によって流出しました。

影響を受けた顧客へのメールは「進行中の多方面にわたるサイバー攻撃」と説明していますが、ほかにどのような攻撃があるのかは明かしていません。メールによると、傍受の手口は封じ込めと修復が完了し、影響を受けたアカウントはロックされており、不正にアクセスされた形跡はないということです。

その40分後、Chainalysisは「異常なアクティビティ」を受け、KYTのユーザーインターフェースとAPI、そのほかのアドレススクリーニング製品、ログインページをオフラインにしたと発表しました。

パスワードのリセットを指示されたばかりの顧客は、すぐにはリセットできないと告げられました。

この停止措置は、月曜日に実施された制限措置の拡大にあたります。月曜日には予防措置として、調査ツール「Reactor」と「Data Solutions」製品をオフラインにする一方、コンプライアンス用の取引監視製品は稼働を続けていました。Chainalysisは、これらの製品を暗号資産エコシステム全体でマネーロンダリングを検知するうえで重要だと位置づけています。

同社は、顧客が許可リストに登録する信頼済みIPアドレスを提出した後、木曜日からKYTとAddress Screeningの復旧を始める予定だとしています。その後、顧客はパスワードをリセットし、APIキーをローテーションできるようになります。

ReactorとData Solutions、もう1つの製品であるChain（ベータ版）については復旧日を示していません。KYTがオフラインの間、顧客がどのように取引をスクリーニングしていたのかについても説明がありませんでした。

また、パスワードの傍受、ハッシュとトークンの流出、アカウントへの不正アクセスの疑いが、同一の攻撃者や手口によるものかどうかも、Chainalysisは明らかにしていません。

広報担当者は、ブログで公表した以上の情報は共有できないと述べました。