Chainalysis straciła dane wszystkich klientów. Najpierw mówiła, że nic groźnego

30 października Chainalysis wysłała klientom e-mail, który miał uspokajać. Ktoś z zewnątrz dostał się wprawdzie do systemów i wewnętrznych narzędzi firmy, ale zobaczył tylko „niewrażliwe dane klientów, takie jak identyfikatory użytkowników, imiona i nazwiska, adresy e-mail oraz etykiety ról w organizacji”. Nic nie wskazywało, by przejęto dane uwierzytelniające albo tokeny sesji.

Pięć dni później, w środę 4 listopada o 23:00 czasu wschodnioamerykańskiego, ta sama firma napisała coś zupełnie innego. Napastnik ma imiona i nazwiska, nazwy użytkowników, skróty haseł i aktywne tokeny „wszystkich użytkowników Chainalysis”. Strona logowania i główne usługi przestały działać.

Taki zwrot byłby kłopotem dla każdej firmy. Dla tej jest kłopotem wyjątkowym, bo Chainalysis sprzedaje dokładnie jedną rzecz: przewagę wiedzy nad przestępcami. Tym razem to przestępcy przez tydzień wiedzieli więcej niż jej klienci.

Detektyw blockchainu

Chainalysis zajmuje się łańcuchami bloków, czyli publicznymi rejestrami transakcji kryptowalutowych. Każdy przelew bitcoina jest w takim rejestrze widoczny, tyle że nadawcę i odbiorcę opisuje wyłącznie ciąg znaków. Firma przypisuje te ciągi do realnych podmiotów: giełd, mikserów, grup przestępczych. Na tej pracy, zwanej atrybucją, opierają się śledztwa policji i działy zgodności w bankach.

Lista klientów wygląda więc jak spis instytucji, które najmniej chciałyby się znaleźć w komunikacie o wycieku. Są na niej m.in. FBI, amerykańska agencja imigracyjna ICE i US Air Force, a z biznesu Microsoft, Coinbase i Barclays. Śledczy korzystają z platformy Reactor, w której odtwarzają przepływy pieniędzy i powiązania między adresami. Giełdy używają usługi KYT (Know Your Transaction), która na bieżąco sprawdza, czy przelew nie ma związku z praniem pieniędzy albo podmiotem objętym sankcjami. Działa to jak automatyczny celnik, przez którego przechodzi każda transakcja.

Od Chainalysis branża dowiaduje się też, kto jej zagraża. Tego samego 30 października, gdy firma ujawniła włamanie, opublikowała dane, z których wynika, że hakerzy powiązani z Koreą Północną odpowiadają w tym roku za prawie 89 proc. strat z kradzieży kryptowalut. W 2021 roku było to 15 proc. Instytucja, która ocenia cudze bezpieczeństwo, sama musiała w tym samym dniu przyznać się do ataku.

Tydzień rosnących strat

Później firma przyznawała się do kolejnych rzeczy po kawałku. 2 listopada wyłączyła Reactor i Data Solutions, czyli narzędzia śledcze i dane, na których klienci prowadzą analizy. KYT zostawiła włączony, bo bez niego trudno wychwytywać przestępstwa finansowe.

Czytaj teżSześć dni, 40 tys. dolarów i Chrome padł. Agenci AI włamują się taniej niż ludzieReklama, która zagląda do telefonu. Citizen Lab opisuje szpiegowanie przez reklamy

W środę rano przyznała, że w ramach „trwającego, wielofrontowego cyberataku” doszło do ataku typu on-path, który ujawnił hasła części klientów. Haker przejmuje wtedy fragment infrastruktury, przez który płynie ruch między dwiema stronami, trochę jak listonosz, który czyta listy, zanim je doręczy. Chainalysis zapewniła, że tę drogę znalazła i zamknęła. Nie powiedziała jednak, gdzie nastąpiło przejęcie ani czy przechwycony ruch był szyfrowany protokołem TLS, a od tego zależy, ile napastnik mógł odczytać. Jeśli potrafił go odszyfrować, mógł zdobyć szeroką kontrolę nad infrastrukturą firmy.

Kilka godzin później przyszła wiadomość o wszystkich użytkownikach. Firma twierdzi, że wiedziała o tym już w poniedziałek, i nie tłumaczy, dlaczego klienci dowiedzieli się dwa dni później. Wykryła też „nietypową aktywność” w KYT, więc i ten celnik zszedł z posterunku, a razem z nim interfejs API, weryfikacja adresów i strona logowania. Klientów, na których konta ktoś najpewniej wszedł bez uprawnień, Chainalysis zawiadamia bezpośrednio.

Różnica między skrótem hasła a tokenem jest tu zasadnicza. Skrót to zakodowany zapis hasła, który trzeba najpierw złamać, żeby do czegoś się przydał. Aktywny token przypomina przepustkę wydaną po zalogowaniu: kto ją ma, często wchodzi do usługi bez podawania hasła. Firma nie ujawniła, jak zabezpiecza hasła ani jakie tokeny zostały skradzione. Nie podała też, ilu użytkowników i organizacji dotyczy incydent ani jak długo napastnicy byli w systemie.

Agenci po drugiej stronie

W pierwszym komunikacie najbardziej przyciągało uwagę jedno sformułowanie. Napastnik miał używać „ofensywnych technik agentowych”, czyli ataków wspomaganych przez agentów sztucznej inteligencji, programy, które same szukają luk, testują je i przechodzą do kolejnych kroków. Jak te narzędzia działały i jaką lukę wykorzystano na początku, firma nie wyjaśniła. Sprawcy nie wskazała.

Po drugiej stronie też pracuje AI. Chainalysis, oprócz zewnętrznych specjalistów od cyberbezpieczeństwa, analizuje własne systemy za pomocą dużych modeli językowych. Atak i obrona sięgają więc po tę samą technologię.

Wszystko dzieje się w wyjątkowo nerwowym tygodniu dla branży. 29 października z giełdy Binance skradziono kryptowaluty o szacowanej wartości 6,3 mld dolarów, a według giełdy z incydentem wiązał się przejęty laptop inżyniera DevOps. 2 listopada zaatakowano brazylijską giełdę Mercado Bitcoin, która straciła około 38 mln dolarów. Chainalysis zapewnia, że jej włamanie nie ma związku ze sprawą Binance, i podkreśla, że mimo wyłączonych systemów pomogła zamrozić prawie 10 mln dolarów skradzionych w Brazylii.

Dostęp z listy

Najważniejsze zapewnienie w tej sprawie brzmi: nie ma dowodów, że ktoś dostał się do danych śledczych albo zmienił dane atrybucyjne. Gdyby napastnik mógł po cichu przepisać przypisanie adresów, mógłby kierować śledztwa na fałszywe tropy albo ukrywać własne portfele. Detektyw z podrobionymi aktami jest groźniejszy niż żaden. Klienci mają jednak za sobą zapewnienie z 30 października, które nie przetrwało tygodnia, więc trudno oczekiwać, że to przyjmą bez zastrzeżeń.

Usługi wracają stopniowo i na nowych warunkach. Klienci muszą przesłać zaufane adresy IP, które firma dopisze do listy dozwolonych, czyli czegoś w rodzaju listy gości przy wejściu. Potem każdy użytkownik musi zmienić hasło, a w razie potrzeby wygenerować nowe klucze API. W piątek 6 listopada Chainalysis poinformowała, że część klientów odzyskała już dostęp do KYT i Address Screening. Daty powrotu Reactora i Data Solutions nie podała, a rzecznik odmówił komentarza wykraczającego poza wpisy na blogu.

Do tego czasu śledczy, którzy na co dzień tropią skradzione kryptowaluty, w tygodniu jednej z największych kradzieży w historii branży nie mają dostępu do swojego głównego narzędzia.

Wpis z pasa „W ruchu”, 8 listopada 2026. Na zdjęciu: Amerykański haker Space Rogue (Cris Thomas) na zdjęciu z 2022 roku.