Chainalysis가 고객 전원의 아이디와 비밀번호 해시, 그리고 살아 있는 토큰까지 유출됐다고 밝혔다. 거래소와 은행, 수사기관을 고객으로 둔 업체의 사고다.
Chainalysis breach, 발표는 갈수록 나빠졌다
처음 발표는 작았다. 지난 금요일 Chainalysis는 AI 도구를 쓴 공격자가 고객의 이름과 이메일 주소, 사용자 ID, 조직 내 역할 표시에 접근했다고 알렸다. 영향은 제한적이고 민감하지 않은 신원 메타데이터 수준이라는 설명이 붙었다.
닷새 뒤 표현이 달라졌다. 수요일 업데이트에서 회사는 월요일에 이름과 사용자 이름, 비밀번호 해시, 살아 있는 토큰이 모든 Chainalysis 사용자에게서 유출된 사실을 확인했다고 밝혔다. 블리핑컴퓨터와 아르스 테크니카가 이 내용을 보도했다.
정확한 규모는 아직 모른다.
회사는 계정 수를 따로 밝히지 않았고, 표현은 "모든 사용자"다. 고객사 1,500곳과 사용자 수는 다른 숫자다.
crypto compliance hack의 경로
공격 방식도 뒤늦게 구체화됐다. 회사는 처음에 "공격적 에이전트 기법"이라는 말을 썼고, 이후에는 온패스 공격, 흔히 중간자 공격이라 부르는 방식이었다고 설명했다. 사용자와 서비스 사이에 끼어들어 오가는 값을 가로채는 수법이다. 상대가 진짜 서버라고 믿게 만드는 데서 시작하고, 인증서나 DNS, 프록시 설정 가운데 한 곳이 느슨하면 그 틈으로 들어간다.
이 업체의 계정은 분석 결과를 조회하는 열쇠이고, 어떤 지갑이 어느 거래소와 연결됐는지 어떤 주소가 제재 대상인지 확인하는 화면에 들어가는 권한이 그 계정에 곧바로 붙어 있다.
고객층이 이 사고를 무겁게 만든다. Chainalysis는 수사기관과 정부 기관, 금융회사, 보험사, 가상자산 사업자에게 블록체인 분석과 컴플라이언스 도구를 판다. 자사 사이트 기준 고객은 1,500곳이 넘는다.
Chainalysis outage: 꺼진 제품들
이상 활동이 더 잡히자 회사는 문을 닫았다. 로그인 포털과 Reactor, Data Solutions, Know-Your-Transaction(KYT) 사용자 인터페이스와 API, 주소 스크리닝 제품이 차례로 내려갔다.
인증 정보가 새고 있다는 판단이 서면 서비스를 내리는 것이 원칙이지만, 고객 입장에서는 조사 도구가 멈춘 셈이다. 거래 모니터링이 필요한 쪽일수록 타격이 크다.
Chainalysis가 건드리지 않았다고 밝힌 것
회사는 조사 그래프 데이터와 블록체인 귀속 저장소에 접근하거나 조작한 증거는 없다고 밝혔다. 확인된 피해는 자격 증명 쪽이다. 이 문장은 회사 발표에 근거한 것이고, 외부 검증은 아직 없다.
Chainalysis credentials stolen, 복구 절차
복구는 수동이다. 고객은 신뢰하는 IP 주소를 보내 허용 목록에 올려야 하고, 접근이 열리면 모든 사용자가 비밀번호를 다시 정하고 API 키를 교체해야 하며, 거래 등록은 그 뒤에야 가능하다.
복구 일정은 공개되지 않았다. 허용 목록에 주소를 넣는 일부터가 고객 몫이라, 준비가 늦은 조직은 그만큼 늦게 돌아온다.
Chainalysis 고객이 지금 할 일
그럼 비밀번호만 바꾸면 끝일까?
핵심은 토큰이다. 비밀번호를 바꾸는 일은 익숙하지만, 살아 있는 토큰은 만료 전까지 그대로 문을 연다. API 키와 세션 토큰을 함께 폐기해야 하는 이유다.
같은 업종에서 사고가 이어졌다. Ledger는 하드웨어 임플란트 사건을 조사하면서 아시아 총판에 지갑 제품을 회수해 달라고 요청했고, 바이낸스는 직원 노트북의 악성코드로 지갑 인프라가 뚫려 북한 해커가 약 63억 4,000만 달러를 가져갔다고 밝혔다. 두 사건은 이번 유출과 별개다.
국내 거래소도 주소 스크리닝과 거래 모니터링을 외부 솔루션에 기대는 경우가 많다. 특정 거래소가 이번 사고의 영향을 받았는지는 확인되지 않았다. 지금 할 일은 공급업체 목록을 열고, 그중 어디에 자격 증명을 맡겼는지 세는 것이다. 우리 계정이 허용 목록에 올라갔는지, 우리 시스템이 그 업체로 보내는 호출을 어디서 처리하는지도 같이 확인해야 한다.
