Chainalysis侵害でパスワードハッシュと有効なトークンが流出

Chainalysisは、金融機関や捜査当局が不審な暗号資産（仮想通貨）取引を追跡する際に使われるツールを提供しています。そのブロックチェーン分析企業は今回、攻撃者がユーザーに関連するパスワードハッシュと有効なトークンを流出させたと明らかにしました。顧客が安全にアカウントへアクセスできるのかという疑問が高まっています。

Chainalysisは追加の開示で、全ユーザーに関連する情報が流出したと説明しました。ただし、挙げられたすべての種類のデータが、全員分流出したのかどうかは明らかにしていません。当初の調査では、認証情報やセッショントークンが流出した形跡は見つかっていませんでした。同社はさらに、一部のKnow Your Transaction（KYT）アカウントに不正アクセスがあった可能性も指摘し、複数の製品を停止しました。暗号資産の送金審査にChainalysisのツールを頼る顧客にとって、今回のインシデントはアカウントのセキュリティリスクであると同時に、モニタリング体制の問題にもなっています。

Chainalysis、侵害の調査結果を顧客プロファイルの範囲を超えて拡大

Chainalysisは11月4日付のセキュリティ更新で、攻撃者が全ユーザーに関連する氏名、ユーザー名、パスワードハッシュ、有効なトークンを流出させたと説明しました。当初の通知では、ユーザーID、メールアドレス、組織内の役割へのアクセスは説明していたものの、認証情報やセッショントークンが流出した形跡は確認できないとしていました。

同社はまた、ユーザーとサービスの間の通信を傍受する「オンパス攻撃」によって、一部の顧客のパスワードが流出したと述べています。影響を受けたアカウントはロックし、この攻撃手法については封じ込めと修復が完了したとしています。KYTでは異常なアクティビティーも検知しました。

「KYTアカウントが不正にアクセスされたとみられる顧客には、直接通知を行っています」と、同社は述べました。

パスワードハッシュは平文のパスワードではなく、リスクの大きさはその保護方法によって変わります。一方、有効なトークンが認証に使える場合は、別の問題が生じかねません。The Recordによると、同社はハッシュ化の方式やトークンの機能を公表しておらず、すべての種類のデータが全ユーザー分流出したのかどうかも明らかにしていません。 

Chainalysisは、調査データにアクセスされた形跡や、ブロックチェーンの帰属データが改ざんされた形跡はないとしています。また、今回の侵害は最近の Binanceでの暗号資産窃取とは無関係だとも説明しました。

KYT停止でコンプライアンス部門はスクリーニングの空白の確認が必要に

Chainalysisは異常なアクティビティーを検知した後、KYTのインターフェースとAPI、Address Screening、ログインページをオフラインにしました。Reactor、Data Solutions、Chain（ベータ版）も利用できなくなりました。同社は11月4日の更新で、11月5日にIPアドレスの許可リスト（信頼済みIPのみ）方式でKYTとAddress Screeningの復旧を開始する方針を示しました。その後、ユーザーがパスワードをリセットし、APIキーをローテーションできるようにするとしています。

KYTプラットフォームは、暗号資産の入出金に伴うリスクを評価し、不審な取引をチームに警告します。取引記録が改ざんされた形跡がなくても、サービスが停止すれば、取引所の日常的な取引審査が中断するおそれがあります。

セキュリティ部門とコンプライアンス部門は、どのチェックが利用できなかったのかを特定し、スクリーニングの空白の可能性を文書化したうえで、サービス復旧後に影響を受けた送金を見直す必要があります。発表された復旧スケジュールどおりに進んだと決めつけず、公式の Chainalysisステータスページで確認すべきです。

影響を受けたChainalysis顧客が今すぐ取るべき対応

Chainalysisはユーザーに対し、必要に応じてパスワードのリセットとAPIキーのローテーションを行うよう指示しています。11月4日の更新によると、同社はアカウントへのログインを一時的に停止しており、その時点では顧客がChainalysisのパスワードをリセットできない状態でした。

影響を受けた組織は、変更を加える前に、Chainalysisが示す検証済みの手順に従い、公式のサービス状況を確認してください。セキュリティチームは、流出した認証情報が不正アクセスに使われていないかも調べる必要があります。

暗号資産の取引モニタリングをChainalysisに頼る組織は、アカウントのセキュリティに加え、サービス停止で生じた空白にも対処する必要があります。

• アカウントを保護し、不審なアクティビティーを確認する: パスワードのリセットが可能になったら、ユーザーは固有のパスワードを設定し、他のサービスで使い回している認証情報も変更してください。管理者は、利用可能なログイン履歴を確認し、見慣れないデバイスやIPアドレス、アカウントの変更がないかを調べてください。 

多要素認証は有効にしておくべきですが、既存のセッションが無効化されたかどうかも確認する必要があります。 悪意あるChatGPTブラウザー拡張機能による攻撃は、盗まれたセッショントークンによって、新たなログインなしでもアカウントが侵害され得ることを示しています。パスワードリセットの案内には、届いた覚えのないメールではなく、Chainalysisの公式チャネルからアクセスしてください。

• トークン、APIキー、連携アプリケーションを監査する: セキュリティチームは、自動化された取引モニタリングツール、社内アプリケーション、サービスアカウントなど、Chainalysisと連携しているすべてのシステムを洗い出してください。そのうえで、権限とアクティビティーログを見直し、予期しないリクエストやアクセスパターンがないかを確認します。 

APIキーは、Chainalysisが示す検証済みの復旧手順に従って、失効させて新しいものに置き換える必要があります。侵害の疑いがあるキーの失効を優先し、影響を受けた連携を復旧する間は、承認済みの事業継続手順を使ってください。流出したトークンが今も有効なのか、すでに失効したのかについても、組織はChainalysisに説明を求めるべきです。

• 取引スクリーニングの空白に対処する: KYTを利用する取引所や金融機関は、どのモニタリング機能が利用できなかったのかを確定し、停止期間中に処理された取引を特定してください。コンプライアンス部門は、承認済みの代替スクリーニング手順の適用や、リスクの高い送金の手動審査へのエスカレーションが必要になる場合があります。サービスがオフラインだった間に下した判断の記録も保存してください。 

通常運用が再開したら、影響を受けた取引と未処理のアラートを見直し、日常的なスクリーニングをすり抜けた可能性のあるアクティビティーを洗い出してください。

パスワードをリセットするだけでは、流出した認証トークンに伴うリスクを取り除けない可能性があります。一部の フィッシングキャンペーンは、有効なセッショントークンを盗み取り、ユーザーが認証した後にアカウントへアクセスします。Chainalysisは、流出したトークンが同じように悪用できるとは確認していません。そのため、トークンで何ができるのか、失効の状況はどうなっているのかが、顧客にとって重要な疑問点です。

調査が続く間、組織は関連する認証ログやAPIアクティビティーの記録、Chainalysisからの連絡も保全しておくべきです。不正アクセスの証拠は、影響を受けたサービスが稼働していた期間と照らし合わせてアクティビティーを見直すまで、明らかにならない場合があります。

Chainalysisが、流出したトークンの機能、KYTアカウントへの不正アクセスの範囲、既存セッションが無効化されたかどうかを明らかにするまでは、パスワードをリセットすれば解決したと考えず、顧客はアカウントの監視を続けるべきです。

関連記事: セッションを盗まれると、攻撃者はパスワードを知らなくてもアカウントにアクセスできます。 インフォスティーラー型マルウェアがClaudeのセッションを乗っ取った事例と、アカウントへのアクセス権を取り消すだけでなく、影響を受けたデバイスを保護することがなぜ重要なのかを解説します。