Chainalysis muss beim Cyberangriff auf die eigenen Systeme deutlich nachlegen: Nach Angaben des Unternehmens lagen Benutzernamen, Passwort-Hashes und „live tokens“ aller Nutzer bei einem Angreifer. Betroffen ist ausgerechnet der Dienstleister, mit dem Ermittler weltweit Kryptogeld-Spuren verfolgen.
Das US-Unternehmen hatte den Vorfall am 30. Oktober öffentlich gemacht und damals erklärt, es gebe keine Hinweise auf einen Zugriff auf Zugangsdaten oder Sitzungstoken. In einem Update vom späten Mittwochabend Ortszeit (Donnerstag, 5. November, gegen 5 Uhr MEZ) heißt es nun im offiziellen Vorfallbericht, man habe am Montag festgestellt, dass „names, usernames, password hashes and live tokens for all Chainalysis users“ einem Angreifer zugänglich waren.
Was belegt ist
- Erste Meldung, 30. Oktober: Chainalysis spricht von einem externen Akteur, der „offensive agentic techniques“ genutzt habe, um in Systeme und interne Werkzeuge einzudringen. Abgeflossen seien Nutzer-IDs, Namen, E-Mail-Adressen und Rollenbezeichnungen. Unbefugte Zugriffe auf Ermittlungsinhalte, Klartext-Passwörter, MFA-Geheimnisse oder Sitzungstoken habe man nicht gefunden.
- 2. November: Das Ermittlungswerkzeug Reactor und das Threat-Intelligence-Produkt Data Solutions gehen vorsorglich offline. Die Compliance-Produkte zur Transaktionsüberwachung laufen weiter.
- 4. November, vormittags US-Zeit: Ein Teil der Kunden erfährt per Mail, dass ihr Passwort bei einem „on-path attack“ abgefangen wurde. Konten werden gesperrt, Nutzer sollen ihr Passwort zurücksetzen. Rund 40 Minuten später nimmt Chainalysis wegen „abnormal activity“ auch KYT (Oberfläche und API), weitere Address-Screening-Produkte und die Login-Seite vom Netz. Das Zurücksetzen der Passwörter ist damit vorerst nicht möglich.
- 4. November, abends US-Zeit: Bestätigung, dass Passwort-Hashes und Tokens aller Nutzer betroffen sind. Kunden, deren KYT-Konten offenbar unbefugt genutzt wurden, würden direkt informiert.
Für Donnerstag kündigte Chainalysis an, KYT und Address Screening schrittweise wieder freizugeben, allerdings nur für IP-Adressen, die Kunden vorab für eine Allowlist melden. Danach müssen alle Nutzer ihr Passwort zurücksetzen und API-Schlüssel tauschen. Für Reactor, Data Solutions und das Produkt Chain (Beta) nannte das Unternehmen kein Datum.
Warum das über Krypto hinaus zählt
Chainalysis ist kein beliebiger SaaS-Anbieter. Laut eigener Website hat das Unternehmen mehr als 1.500 Kunden, darunter Strafverfolgung, Aufsichtsbehörden, Banken, Kryptobörsen und den Bereich nationale Sicherheit, wie The Record zusammenfasst. Reactor ist das Werkzeug, mit dem Ermittler Geldflüsse auf Blockchains nachzeichnen. KYT prüft für Börsen und Zahlungsdienstleister in Echtzeit, ob Transaktionen mit Sanktionslisten, Darknet-Märkten oder gestohlenen Geldern verknüpft sind.
Fällt KYT aus, fehlt diesen Firmen ein Baustein ihrer Geldwäsche-Prüfung. Wie Kunden in der Zwischenzeit Transaktionen prüfen sollen, hat Chainalysis laut The Record nicht erklärt.
Der harte Punkt ist die Salamitaktik
Am 30. Oktober hieß es noch, Zugangsdaten und Sitzungstoken seien nicht betroffen. Fünf Tage später sind es Passwort-Hashes und Tokens aller Nutzer, dazu abgefangene Passwörter und mutmaßlich missbrauchte KYT-Konten. Die Darstellung hat sich in jedem Update verschlechtert.
Mehrere entscheidende Fragen bleiben offen. Chainalysis sagt nicht, mit welchem Verfahren die Passwörter gehasht waren. Davon hängt ab, wie leicht sich die Hashes offline knacken lassen, wie The Register anmerkt. Was genau „live tokens“ sind, bleibt ebenso unklar. Gültige Authentifizierungstoken können je nach Bauart Zugriff ohne Passwort erlauben. Ob das abgefangene Passwort, die abgeflossenen Hashes und die verdächtigen KYT-Zugriffe auf denselben Angreifer und dieselbe Methode zurückgehen, hat das Unternehmen ebenfalls nicht gesagt. Ein Sprecher verwies gegenüber The Record nur auf den Blogeintrag.
Auch die Formulierung „offensive agentic techniques“ ist bislang nicht unterfüttert. Chainalysis sprach in der ersten Kundenmail von einem „industry-wide rise in AI-driven cyberattacks“, hat aber nicht ausdrücklich gesagt, dass ein KI-Agent den Einbruch selbst durchgeführt hat. Wer die Täter sind, ist offen. Mit dem Diebstahl bei Binance hat der Vorfall laut Chainalysis nichts zu tun.
Was Betroffene jetzt tun sollten
- Passwort nur über die bekannte Chainalysis-Login-Seite zurücksetzen, nicht über Links in Reset-Mails. Darauf weist das Unternehmen selbst hin.
- Wurde das Chainalysis-Passwort auch anderswo verwendet, dort sofort ändern.
- API-Schlüssel tauschen, sobald das wieder möglich ist, und Zugriffsprotokolle der eigenen Integrationen prüfen.
- Zwei-Faktor-Authentifizierung aktivieren, falls noch nicht geschehen.
- Mit gezielten Phishing-Mails rechnen: Namen, E-Mail-Adressen und Rollen der Nutzer sind seit Oktober in fremder Hand.
Einordnung
Für die Bewertung fehlen noch die wichtigsten technischen Details. Fest steht, dass ein Unternehmen, dessen Geschäft das Vertrauen von Ermittlern und Compliance-Abteilungen ist, binnen einer Woche von „keine Zugangsdaten betroffen“ zu „alle Nutzer betroffen“ gewechselt ist und zentrale Produkte abschalten musste. Die Firma betont, es gebe weiterhin keine Hinweise, dass Ermittlungsdaten eingesehen oder Zuordnungsdaten manipuliert wurden. Ob das hält, wird erst die abschließende Untersuchung zeigen.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
