A Chainalysis afirma que os atacantes obtiveram os hashes das palavras-passe e os tokens ativos de todos os utilizadores

A Chainalysis passou uma semana a dizer aos clientes que os danos eram mínimos. Mas afinal não eram.

Num aviso atualizado sobre o incidente, divulgado esta semana, a empresa de análise de blockchain afirmou que nomes, nomes de utilizador, hashes de palavras-passe e tokens de autenticação ativos de todos os seus utilizadores foram expostos a um atacante. A WuBlockchain assinalou a atualização no X a 6 de novembro e acrescentou a parte que mais dói: algumas palavras-passe em texto simples também foram divulgadas, através de um método de ataque distinto.

De «não sensível» a tudo

A Chainalysis tornou o incidente público a 30 de outubro. A sua publicação sobre o incidente de segurança referia que um agente externo tinha utilizado «técnicas ofensivas de agência» para aceder aos seus sistemas e ferramentas internas. Nessa altura, os dados expostos eram IDs de utilizador, nomes completos, endereços de e-mail e designações de funções nas organizações. A empresa classificou-os como não sensíveis e afirmou não ter encontrado sinais de acesso a conteúdos de investigação, credenciais ou tokens de sessão. Afirmou também, por duas vezes, que o incidente não tinha qualquer relação com o roubo na Binance.

Cinco dias depois, esse quadro desmoronou-se. A Chainalysis afirmou ter descoberto na segunda-feira, 2 de novembro, que um conjunto mais vasto de dados tinha sido exposto, e a Cointelegraph noticiou que a empresa descreveu pela primeira vez essa alteração na quarta-feira. Uma atualização separada indicou que um «ataque on-path», do tipo «man-in-the-middle», tinha exposto um subconjunto de palavras-passe de clientes, de acordo com o BleepingComputer. A empresa afirma que esse vetor está agora controlado.

Há uma discrepância nas datas. O Cybernews situa a descoberta na quarta-feira, 4 de novembro. A própria formulação da Chainalysis, tal como citada pela Cointelegraph e pelo BleepingComputer, refere a segunda-feira.

O que significa um «token ativo»

Os hashes de palavras-passe são codificados, não são legíveis, mas podem ser descodificados, e qualquer utilizador que tenha reutilizado uma palavra-passe fica exposto noutros locais. Os tokens ativos são a maior preocupação. Como explicou a American Banker, um token permite que uma pessoa ou um programa atue como um utilizador com sessão iniciada sem ter de introduzir uma palavra-passe. A Chainalysis não revelou o que um intruso poderia ver ou alterar com um token. Recusou-se também a fornecer à Cointelegraph qualquer informação para além do comunicado publicado e não indicou se o atacante foi expulso.

O encerramento

Os primeiros a ficarem fora de serviço foram o Reactor, a ferramenta de investigação, e o Data Solutions, que transfere dados da Chainalysis para os próprios sistemas dos clientes. Mais tarde, após detetar atividade anómala, a empresa retirou o KYT — tanto a interface como a API —, juntamente com a verificação de endereços e a página de início de sessão, segundo o The Hacker News. As contas afetadas foram bloqueadas. Para alguns utilizadores, nem sequer foi possível, de momento, redefinir a palavra-passe.

Restaurar o acesso implica uma lista de IPs autorizados, uma reposição de palavra-passe e a rotação de chaves API para cada utilizador. O KYT e a verificação de endereços foram os primeiros a ser restabelecidos. O Reactor e o Data Solutions ainda não têm data de regresso.

Para uma equipa de conformidade que verifica depósitos através do KYT, esta foi uma semana complicada. Entre os clientes contam-se forças policiais, agências governamentais, bancos, seguradoras e empresas de criptomoedas, observa o BleepingComputer. Vários deles viram desaparecer uma ferramenta essencial de verificação enquanto aguardavam respostas.

O que mais importa

A Chainalysis continua a afirmar que não tem provas de que os dados da investigação tenham sido acedidos ou de que os seus dados de atribuição tenham sido manipulados. Os dados de atribuição são o que liga os endereços a entidades reais e, se alguém os pudesse editar discretamente, todos os rastos baseados neles tornam-se suspeitos. Por isso, esta afirmação tem um grande peso.

Ainda assim, eu leria com atenção. «Não há provas» foi também a posição da empresa relativamente às credenciais e tokens a 30 de outubro. A American Banker salientou que as divulgações mais abrangentes ocorreram cinco dias após essa declaração. Isso não torna a afirmação atual falsa. Significa, sim, que a investigação continua em curso.

A perspetiva da IA

A Chainalysis afirma estar a observar um aumento, em todo o setor, de ataques impulsionados por IA. Não revelou qual a ferramenta utilizada, durante quanto tempo o atacante esteve no sistema, nem quais as vulnerabilidades exploradas. Teiss observou que não é claro se o atacante utilizou uma estrutura como o ARTEX ou agentes personalizados.

No entanto, a tendência geral é real. O Hacker News inclui a Chainstack, a OpenCode, a Warp e a WorkOS entre as empresas que relataram recentemente ataques impulsionados por IA. A Microsoft descreveu uma campanha em que um agente passou de analisar o GitHub em busca de segredos expostos a extrair dados do Azure Key Vault em cerca de cinco minutos. Não há nada público que ligue essa campanha à Chainalysis.

Uma semana difícil para a segurança das criptomoedas

O momento é delicado. A Binance perdeu cerca de 6,3 mil milhões de dólares numa violação ocorrida a 29 de outubro, e a Chainalysis estava entre as empresas que ajudaram a comunidade a descobrir quem estava por trás disso. Esta semana, a Binance e a Deribit também revogaram todas as chaves API ligadas à plataforma de negociação SignalPlus, depois de esta ter comunicado um problema de segurança. A SignalPlus afirmou posteriormente que um convite falso do Microsoft Teams comprometeu o computador de um engenheiro e estimou as perdas em menos de 82 000 dólares. Tanto a Binance como a Deribit afirmaram que os seus próprios sistemas não foram afetados, e Changpeng Zhao instou os negociadores a revogarem as chaves da SignalPlus noutras bolsas.

Nenhum destes incidentes está relacionado com a Chainalysis. Em conjunto, demonstram até que ponto a segurança deste setor depende atualmente de inícios de sessão, tokens e chaves API detidas por terceiros.

O que devem fazer os utilizadores?

Os clientes da Chainalysis devem esperar uma redefinição forçada e atualizar quaisquer chaves API que a empresa solicite. Se reutilizou a sua palavra-passe da Chainalysis noutro local, altere-a também aí. Trate qualquer e-mail inesperado de redefinição de palavra-passe ou pedido de autenticação como uma ameaça, que é exatamente o que a Chainalysis aconselhou os seus próprios utilizadores a fazer.

Ainda sem resposta: quantos clientes tiveram as suas contas acedidas, se o atacante já foi neutralizado e quando é que o Reactor volta a funcionar.