Взлом Chainalysis затронул данные всех пользователей платформы: атакующие получили имена, логины, хеши паролей и действующие токены доступа. Компания отключила Reactor, Data Solutions, интерфейс и API Know Your Transaction (KYT), а также часть продуктов для проверки криптоадресов — неприятный инцидент для команд, которые используют сервисы Chainalysis в расследованиях и комплаенсе.
Как пишет The Hacker News, Chainalysis утверждает, что пока не обнаружила признаков доступа к данным расследований или подмены собственных атрибуций адресов. Но масштаб компрометации учетных данных компания признала уже после начала расследования многоэтапной атаки: первоначально речь шла лишь о части клиентских паролей, перехваченных при атаке на соединение.
Сервисы отключили, пароли пока не сбросить
Компания сообщила, что закрыла затронутые аккаунты и добавила мониторинг подозрительной активности. Пользователям, получившим письмо о необходимости сменить пароль, предлагают не пытаться сделать это немедленно: обычная процедура сброса временно недоступна из-за отключения страницы входа. Зато рекомендация вполне практична: если тот же пароль использовался в других системах, его нужно заменить там без ожидания восстановления платформы.
Для клиентов, которым критично продолжать операции, Chainalysis готовит ограниченное восстановление KYT и Address Screening. Доступ предполагается выдавать через allowlist доверенных IP-адресов: их нужно передать поддержке или аккаунт-команде. После этого пользователям потребуется сменить пароль и, где применимо, перевыпустить API-ключи. Reactor и Data Solutions компания обещает вернуть позднее, одновременно усилив защиту учетных записей.
Технически тревожнее всего здесь не только факт утечки хешей паролей. Активные токены могут позволить обойти парольный барьер до их отзыва, а значит, реагировать нужно как на полноценную компрометацию сессий и ключей. Для российских компаний, работающих с зарубежными аналитическими и облачными платформами, это знакомый сценарий: у поставщика еще идет расследование, а у клиента уже остановлены интеграции, проверки транзакций и внутренние процессы, завязанные на API.
Агентные атаки ускоряют привычную цепочку взлома
Инцидент Chainalysis вписывается в серию атак на технологические компании, где злоумышленники используют агентные ИИ-инструменты. Среди других пострадавших в материале названы Chainstack, OpenCode, Warp и WorkOS. По данным Microsoft, атакующие применяют агентный фреймворк ARTEX для поиска секретов в публичных репозиториях GitHub, анализа найденного и последующих атак на облачные сервисы.
Скорость здесь меняет не физику безопасности, а экономику атаки. В одном из описанных случаев ИИ-агент прошел путь от поиска секретов в GitHub до выгрузки данных из Azure Key Vault за пять минут. Microsoft также зафиксировала входы с валидными учетными данными сервисных приложений в десятках связанных приложений разных арендаторов Entra ID. Затем злоумышленники пытались получить ключи хранилищ, строки подключения, настройки App Service, учетные данные AKS и доступ к ресурсам Microsoft 365.
Отдельная цель таких кампаний — доступ к вычислениям для ИИ. Google описала схему, в которой украденные корпоративные доступы к большим языковым моделям перепродаются через посредников, распределяющих запросы между скомпрометированными аккаунтами. Для владельца инфраструктуры это двойной ущерб: риск утечки и внезапные расходы на API. Исследователи Wiz отмечали, что массовое исполнение запросов к LLM может приносить жертвам счета на сотни тысяч долларов.
После взлома Chainalysis командам стоит проверить не только пользовательские пароли. Нужны отзыв сессий и токенов, ротация API-ключей, ревизия сервисных учетных записей, поиск секретов в репозиториях и переменных окружения, а также алерты на нетипичные обращения к облачным хранилищам и системам идентификации. Особенно опасно считать, что хешированный пароль — это «не настоящая утечка»: при слабых или повторно используемых паролях хеш быстро превращается в рабочий доступ.
Главный вопрос теперь не в том, вернет ли Chainalysis сервисы после усиления защиты, а успеют ли компании перестроить контроль доступа под атаки, которые умеют сами искать секреты, выбирать следующий шаг и действовать почти без оператора. В такой модели инвентаризация ключей и короткая жизнь токенов становятся не скучной гигиеной, а защитой от атаки, развивающейся быстрее обычного ручного реагирования.
