Chainalysis saldırısı: parola özetleri çalındı

Chainalysis saldırısı, ilk açıklamalara göre daha ağır çıktı. Blockchain analiz şirketi, sistemlerine giren saldırganların kullanıcı adlarını, parola özetlerini ve canlı tokenları ele geçirdiğini doğruladı. Bu ayrıntıları çarşamba akşamı geç saatte yayımladığı güncellemeyle ilk kez paylaştı.

Şirket saldırıyı 30 Ekim'de fark etti ve o günden beri düzenli güncelleme yayımlıyor. Önceki açıklamalarda kullanıcı kimlikleri, tam adlar, e-posta adresleri ve kurumsal rol etiketlerinin açığa çıktığı belirtilmişti. Parola özetleri ve tokenların da eklenmesi, tablonun kötüleştiğini gösteriyor.

Parola Özetleri ve Tokenlar Neden Önemli?

Parola özeti (hash), parolanın düz metin yerine saklanan şifrelenmiş karşılığıdır. Ancak Chainalysis, hangi özet algoritmasını kullandığını açıklamadı. Bu yüzden ele geçen özetlerin çevrimdışı ortamda kırılıp kırılamayacağı konusunda net bir sonuca varmak zor.

Bazı kullanıcılara parolalarını değiştirmeleri için e-posta gönderildi. Fakat şirket, parola sıfırlama işlevinin şu anda çalışmadığını bildirdi. Öte yandan kullanıcılara, aynı parolayı kullandıkları diğer sitelerde de değiştirme çağrısı yapıldı.

Chainalysis saldırısı sonrası hangi hizmetler kapalı?

Şirket, işlem tarama ürünlerinde "anormal etkinlik" tespit ettiğini de açıkladı. Bu nedenle ekibin kritik çalışmayı tamamladığı süre boyunca bazı hizmetleri kapattı. Liste bunlarla sınırlı değil.

• Uluslararası kolluk kuvvetlerinin kullandığı Reactor blockchain soruşturma platformu
• Data Solutions tehdit istihbaratı platformu
• KYT (know your transaction) kara para aklamayla mücadele çözümünün arayüzü ve giriş sayfası

Reactor ve soruşturma verileri için şirketin mesajı net. Soruşturma verilerine erişildiğine ya da Chainalysis'in atıf verilerinin değiştirildiğine dair şu an bir kanıt yok. Yine de şirket, hizmetleri güvenli biçimde geri getirmek için dış uzmanlarla çalışıyor.

Saldırının Türü ve Müşteri Tabanı

Chainalysis saldırganların kim olduğunu henüz açıklamadı. Ancak bir yapay zeka ajanı kullanıldığını ima etti ve olayı son haftalarda "birçok diğer teknoloji platformunu" vuran saldırılara benzetti. 30 Ekim'deki ilk bildirimde, saldırgan ajan teknikleri kullanan harici bir aktörden söz edilmişti.

Çarşamba günkü güncellemelerde olay önce "süren çok cepheli siber saldırı", ardından "on-path attack" olarak anıldı. Bu terim, araya girme saldırısı (AitM) anlamına geliyor. Şirket ayrıntı vermedi.

Etkinin boyutu, müşteri tabanından da anlaşılıyor. Şirketin kendi tanımına göre müşterileri arasında devlet kurumları, kripto para borsaları, finans kuruluşları ve siber güvenlik şirketleri var. Üstelik şirket, kolluk kuvvetlerinin siber soruşturmalarında düzenli olarak destek veriyor. Son dönemde AudiA6 kara para aklama ağının ve Virtualine adlı "bulletproof" barındırma sağlayıcısının çökertilmesine yardım etti. İkisi de fidye yazılımı çetelerine kolaylık sağlıyordu. Chainalysis, LockBit fidye yazılımı operasyonunun çökertilmesinde de rol almıştı.

Şirket, Reactor ve Data Solutions'ı yeniden açmak için gece gündüz çalıştığını söylüyor. Bu iki platformda her kullanıcı parolasını sıfırlayacak ve gerektiğinde API anahtarlarını yenileyecek. KYT ile Address Screening aracının ise bugün, 5 Kasım Perşembe günü yeniden açılması planlanıyor. Müşteriler önce güvenilir IP adreslerini destek ekibine ya da hesap yöneticisine iletecek. Bu adresler izin listesine eklendikten sonra parola sıfırlama başlayacak.