一家專門替別人查鏈上金流的公司，這次要查的是自己的登入入口。對客戶來說，麻煩的不是密碼，是那些還有效的權杖。
Chainalysis breach 的說明改了三次
上週五，Chainalysis 說有攻擊者用 AI 工具取得客戶的姓名、電子郵件、使用者 ID 與組織角色標籤，當時的定調是影響有限、只涉及非敏感的識別資料。
到了週三的更新，說法變了。公司在週一發現，所有使用者的姓名、使用者名稱、密碼雜湊與有效權杖都已經外洩給惡意行為者。BleepingComputer 與 Ars Technica 在 11 月 6 日報導了這份揭露。
同一份更新把手法寫成 on-path attack，也就是一般說的中間人攻擊。
為什麼 Chainalysis credentials stolen 比一般 SaaS 外洩更麻煩
先看這家公司是誰。Chainalysis 賣的是區塊鏈分析與合規工具，客戶包含執法機關、政府機構、金融機構、保險公司與加密貨幣業者，官網寫的合作客戶超過 1,500 家。
這批客戶的共通點，是他們用這套工具決定一筆資金要不要放行。台灣與香港的合規交易所、銀行的防洗錢部門，日常就在這種流程裡工作。當外洩的是登入憑證與 API 權杖，攻擊者拿到的是查詢與標記的能力，不是餘額。同樣的洩漏發生在圖庫公司，不會被叫成 crypto compliance hack。
攻擊手法：on-path 攔截與 AI 輔助的 agentic 手法
公司最早的描述是攻擊者用了所謂的 offensive agentic techniques，意思是讓 AI 代理代替人執行一連串操作。後來的更新補上 on-path attack，說明憑證是在傳輸路徑上被攔下的。
兩者可以並存：代理負責跑流程，攔截負責拿資料。
沒被碰的部分：調查圖譜與歸因資料
Chainalysis 說目前沒有證據顯示攻擊者存取過調查圖譜資料，也沒有操縱自家的區塊鏈歸因資料庫。這兩項是它產品裡最敏感的部分，客戶的案子與標記都在裡面。
要注意這句話的範圍。公司講的是沒有證據，不是保證沒發生。
Chainalysis outage 之後：IP 白名單、改密碼、換 API key
發現密碼外洩之後，公司先鎖住帳號，要求使用者重設密碼才能登入。接著又發現異常活動，於是把登入入口連同 Reactor、Data Solutions、KYT 介面與 API、位址篩選產品一起下線。
恢復的流程有三道。客戶先送出可信任的 IP 給白名單，開通之後每個使用者重設密碼，再輪換 API key，然後才能登記交易。
到目前為止，沒有公布恢復時間。
手上有一個 Chainalysis 帳號，現在該做什麼
如果你直接使用這套工具，先假設 2026 年 11 月之前的密碼與 API key 都不安全。輪換金鑰時，把舊 key 直接撤銷，不要只新增一組。
再往內看一層。這類合規工具的權杖通常被寫進自動化流程，例如每日批次匯出、交易監控規則、報表排程。這些地方常留著沒人記得的金鑰，換密碼不會動到它們。
如果你的公司是這家廠商的客戶，而你不在資安團隊裡，值得問一個問題：我們的合約裡有沒有要求對方在多久內通報這類事件？這次的時間差是三天。
同一個月，錢包廠商 Ledger 要求亞洲經銷商下架部分產品以調查硬體植入事件，Binance 也說北韓駭客透過員工筆電上的惡意程式入侵錢包基礎設施，取走約 63.4 億美元。這幾件事沒有證據顯示彼此相關，但放在一起看，這一行這個月的狀況不好。
外洩的是憑證與權杖，不是客戶的幣。這句話不是安慰，因為對攻擊者來說，能查詢與標記的權限，有時候比一次轉帳更有用。
