金曜に限定的なメタデータと説明していた被害は、水曜には全顧客のユーザー名とパスワードハッシュ、有効なトークンへ膨らんだ。
Chainalysis breachの公表は4日で変わった
Chainalysis breachの説明は、週をまたいで書き換わった。同社は金曜の時点で、AIツールを使う攻撃者が顧客の氏名、メールアドレス、ユーザーID、組織内の役割に触れたと発表していた。影響は限定的で、機密性の低い識別情報だと説明している。水曜の更新では、月曜に把握した事実として、全ユーザーの氏名、ユーザー名、パスワードハッシュ、有効なトークンが悪意ある相手に渡ったと認めた。
Chainalysis credentials stolenの範囲
手口は中間者攻撃だと説明されている。通信の途中に入り込む形だ。パスワードは平文ではなくハッシュの状態で漏れた。同社は、調査用のグラフデータやブロックチェーンの帰属リポジトリに攻撃者が触れた証拠はないとしている。Chainalysis credentials stolenという表現が指すのは、認証情報と、そのまま使えるトークンだ。パスワードの変更だけでは足りない。
crypto compliance hackが重い理由
crypto compliance hackが通常のSaaS被害と違うのは、顧客の顔ぶれだ。Chainalysisの道具は、法執行機関、政府機関、金融機関、保険会社、暗号資産事業者が使う。同社のサイトは1,500以上の顧客と書く。取引監視の判断材料を扱う会社で全テナントの認証情報が出れば、顧客側の調査結果や照会の履歴も標的になる。日本の暗号資産交換業者も、金融庁の登録のもとで同じ種類の照会を使う。疑わしい取引の届出やマネーロンダリング対策の調査で、こうした分析結果を参照する立場にある。
Chainalysis outageは復旧の日付がない
現在も影響は続く。同社は追加の異常な動きを確認したとして、ログインポータルを止め、ReactorとData Solutions、KYTの画面とAPI、アドレス審査の製品も停止した。攻撃者の名前も、全ユーザー以外の件数も公表していない。復旧の手順は、顧客から信頼できるIPアドレスを受け取り、許可リストに入れる形だ。アクセスが戻った後も、全ユーザーがパスワードを再設定し、APIキーを交換してから取引の登録を行う。再開の日付は示されていない。
Chainalysisのアカウントを持つ人の手順
アカウントを持つ側は、待つだけでは済まない。では、何から手を付けるべきか？パスワードの再設定とAPIキーの交換を先に行い、使っていないキーは失効させる。不審なログインと照会の履歴を確認する。許可リストの依頼は、社内の接続元を整理してから出す。パスワード管理ツールの共有設定も見直す。同じベンダーへ渡したAPIキーを他のサービスで使い回していないかも確かめる。攻撃者がトークンを持っている前提で動くほうがいい。
Chainalysisの一件が示すベンダー選び
同じ週、暗号資産の世界では別の事故も起きていた。Ledgerは筐体への介入事案を調べるため、アジアの販売店に製品の引き揚げを依頼した。Binanceは、北朝鮮のハッカーが従業員のノートPCのマルウェアからウォレット基盤に入り、約63億4,000万ドルを盗んだと述べている。いずれも今回の一件とは別の出来事だ。共通するのは、認証情報と端末が起点になっている点にある。取引先を選ぶときは、障害時の連絡経路と鍵の交換手順まで聞いておきたい。
