Взлом Chainalysis, обнаруженный 30 октября, оказался серьёзнее первоначальных сообщений: злоумышленники получили имена пользователей, хеши паролей и действующие токены доступа. Для компаний, банков, криптобирж и правоохранительных органов, которые используют инструменты Chainalysis, это не просто очередная утечка — часть ключевых сервисов расследований и AML-проверок пришлось остановить.
Компания подтвердила новые детали инцидента в обновлении от 4 ноября, сообщает The Register. Ранее Chainalysis говорила об утечке идентификаторов пользователей, полных имён, e-mail и обозначений ролей в организациях. Теперь список пополнили хешированные пароли и live tokens — действующие токены, с помощью которых можно поддерживать авторизованную сессию или обращаться к сервисам без повторного ввода учётных данных.
Самая неприятная часть этой истории — не только объём раскрытых данных, но и неопределённость вокруг них. Chainalysis не назвала алгоритм хеширования паролей. Без этого нельзя оценить, насколько реалистичен их офлайн-подбор: устойчивость хеша зависит и от алгоритма, и от настроек, и от того, использовалась ли соль. Пользователям рекомендовали менять пароли, особенно если они повторяются на других сайтах. Однако на момент публикации обновления функция сброса пароля у самой Chainalysis была недоступна — довольно неловкая деталь для компании, которая призывает клиентов срочно обновить доступ.
Параллельно компания зафиксировала «аномальную активность» в продуктах проверки транзакций и отключила часть систем для расследования и усиления защиты. В офлайне оказались или оставались Reactor — платформа для блокчейн-расследований, Data Solutions с данными об угрозах, а также пользовательский интерфейс и страница входа KYT, сервиса мониторинга транзакций для задач противодействия отмыванию денег. Chainalysis планировала вернуть KYT и инструмент Address Screening 5 ноября, но с дополнительным барьером: клиентам нужно передать доверенные IP-адреса в поддержку или аккаунт-менеджеру для внесения в allowlist.
Reactor здесь особенно чувствителен. Его используют международные правоохранительные органы для анализа криптовалютных потоков, поиска связей между адресами и сопровождения расследований. Chainalysis заявляет, что пока не нашла признаков доступа к данным расследований или изменения собственной базы атрибуции адресов. Формулировка важна, но не равна окончательному выводу: расследование продолжается, а сами системы компания описывает как объект «продолжающейся многофронтовой кибератаки».
В первоначальном уведомлении от 30 октября Chainalysis сообщала об использовании атакующим «наступательных агентных техник». Позднее она назвала инцидент on-path attack — это близко к более привычному термину attacker-in-the-middle: злоумышленник оказывается на пути обмена данными и может перехватывать, подменять или использовать передаваемые учётные артефакты. Детальной технической схемы компания не раскрыла, поэтому связывать компрометацию с конкретной уязвимостью, ИИ-моделью или методом обхода MFA пока нельзя.
При этом упоминание агентных техник — не повод списать инцидент на модный ярлык «атака ИИ». Автоматизированный агент способен быстрее собирать контекст, проверять маршруты доступа и масштабировать уже найденную слабость, но токены и пароли обычно утекают из-за вполне земных проблем: недостаточной защиты сессий, слабого контроля доступа, лишних прав у интеграций и позднего обнаружения аномалий. В этой истории особенно показательна цепочка мер, которую Chainalysis вводит после атаки: обязательный сброс паролей, ротация API-ключей и IP-allowlist.
Для российских команд, работающих с финтехом, криптоинфраструктурой или любыми B2B-платформами с чувствительными данными, взлом Chainalysis — хороший повод проверить не только пароли сотрудников. Нужны инвентаризация и отзыв активных сессий, короткий срок жизни токенов, привязка токенов к контексту использования, раздельные права для API-ключей и понятный аварийный сценарий. Если сброс пароля невозможен в первые часы инцидента, у компании должен быть иной безопасный путь восстановить доступ и не заставлять клиентов выбирать между простоем и риском.
Влияние атаки выходит за пределы одного поставщика. Chainalysis обслуживает государственные структуры, криптобиржи, финансовые организации и команды кибербезопасности; компания участвовала, в частности, в делах против сети отмывания криптовалют AudiA6, bulletproof-хостинга Virtualine и группировки LockBit. Когда такой сервис отключает расследовательские и скрининговые продукты, клиенты теряют не только удобный интерфейс, но и часть операционного контура: проверки адресов, оценку рисков и доступ к накопленному аналитическому контексту.
Главный вопрос теперь не в том, насколько быстро Chainalysis поднимет сервисы, а в том, какие доказательства она сможет представить после расследования: были ли использованы украденные токены, сколько аккаунтов затронуто и как именно атакующий оказался «на пути» к внутренним инструментам. История с Chainalysis напоминает рынку: в системах, где токен равен доступу к финансовой или следственной информации, защита сессии давно стала такой же критичной, как защита пароля.
