Der Blockchain-Analyseanbieter Chainalysis hat das Ausmaß seiner Datenpanne deutlich nach oben korrigiert. Nach eigenen Angaben sind Namen, Benutzernamen, Passwort-Hashes und sogenannte „live tokens“ aller Chainalysis-Nutzer einem Angreifer in die Hände gefallen. Noch am 30. Oktober hatte das US-Unternehmen erklärt, es gebe keine Hinweise auf einen Zugriff auf Zugangsdaten oder Sitzungstoken. Im Lauf der Woche musste Chainalysis mehrere Dienste abschalten, darunter das Ermittlungswerkzeug Reactor, die Transaktionsüberwachung KYT und zeitweise sogar die Login-Seite. Seit dem 6. November kehren die ersten Dienste schrittweise zurück – allerdings nur mit neuen Passwörtern, neuen API-Schlüsseln und einer IP-Allowlist.

Wie Chainalysis den Vorfall Schritt für Schritt einräumte

Erstmals informierte Chainalysis am 30. Oktober auf seiner Website und per E-Mail an die Kunden. Ein externer Akteur habe sich im Oktober mit „offensive agentic techniques“ unbefugt Zugriff auf Systeme und interne Werkzeuge verschafft. Der Begriff steht üblicherweise für KI-Agenten, die mehrstufige Aufgaben weitgehend selbstständig abarbeiten; was genau dahintersteckt, erläutert das Unternehmen nicht. Damals hieß es, abgeflossen seien lediglich „nicht sensible“ Daten wie Nutzer-IDs, vollständige Namen, E-Mail-Adressen und Rollenbezeichnungen. Für einen Zugriff auf Ermittlungsinhalte, Klartext-Passwörter, MFA-Geheimnisse oder Sitzungstoken gebe es keine Anzeichen. Einen Zusammenhang mit dem jüngsten Krypto-Diebstahl bei Binance schloss Chainalysis aus.

Am 2. November nahm das Unternehmen vorsorglich Reactor und die Datenplattform Data Solutions vom Netz. Die Compliance-Produkte zur Transaktionsüberwachung, mit denen Kunden unter anderem Geldwäsche erkennen, ließ es dagegen weiterlaufen – wegen ihrer Bedeutung für das Geschäft der Kunden, wie es hieß. Am 4. November um 9:50 Uhr Ostküstenzeit (15:50 Uhr deutscher Zeit) folgte die nächste Meldung: Bei einem „on-path attack“, also einem Angriff auf den Übertragungsweg, sei ein Teil der Kundenpasswörter offengelegt worden. Chainalysis sperrte die betroffenen Konten, der Angriffsweg sei inzwischen geschlossen. 40 Minuten später meldete das Unternehmen „abnormal activity“ und schaltete auch KYT samt Programmierschnittstelle, weitere Address-Screening-Produkte und die Login-Seite ab. Reactor, Data Solutions und Chain (Beta) waren zu diesem Zeitpunkt weiterhin offline.

Passwort-Hashes und Tokens „aller Chainalysis-Nutzer“

Die eigentliche Korrektur veröffentlichte Chainalysis am 4. November um 23 Uhr Ostküstenzeit, in Deutschland war es da bereits 5 Uhr morgens am 5. November. Man habe „am Montag“ – gemeint ist der 2. November – festgestellt, dass Kundendaten einschließlich Namen, Benutzernamen, Passwort-Hashes und „live tokens“ für „alle Chainalysis-Nutzer“ einem böswilligen Akteur offengelegt worden seien. Im Update vom 2. November war davon noch keine Rede gewesen. Kunden, deren KYT-Konten offenbar unbefugt genutzt wurden, benachrichtige man direkt. Hinweise darauf, dass Ermittlungsdaten abgerufen oder die Zuordnungsdaten von Chainalysis (Attribution) manipuliert wurden, gebe es weiterhin nicht.

Entscheidende Details fehlen. Wie The Record berichtet, hat Chainalysis weder erklärt, was mit „live tokens“ gemeint ist, noch, mit welchem Verfahren die Passwörter gehasht wurden. Ein Sprecher sagte dem Magazin, man könne über den Blogeintrag hinaus nichts mitteilen. Offen ist auch, wie viele Personen betroffen sind und ob das Abfangen der Passwörter, die Offenlegung der Hashes und die verdächtigen KYT-Zugriffe auf denselben Angreifer zurückgehen. Welche Schwachstellen ausgenutzt wurden und wie lange der Angreifer Zugang hatte, ist ebenfalls nicht bekannt.

Symbolbild: Anmeldemaske mit den Feldern Username und Password auf einem Bildschirm

Symbolbild – Foto: Santeri Viinamäki, Lizenz CC BY-SA 4.0, via Wikimedia Commons

Warum der Vorfall über Kryptobörsen hinaus heikel ist

Chainalysis ist auf die Analyse von Kryptowährungs-Transaktionen spezialisiert. Auf seiner Website nennt das Unternehmen mehr als 1500 Kunden und führt Strafverfolgungsbehörden als eigenes Kundensegment. Als Referenzen zitiert es dort unter anderem die Ermittlungsabteilung der US-Steuerbehörde (IRS Criminal Investigation) und die spanische Nationalpolizei. Wenn Daten „aller Nutzer“ betroffen sind, schließt das nach der Darstellung von Chainalysis also auch Konten aus diesem Umfeld ein – darauf weist auch The Record hin.

Für Angreifer ist das in mehrfacher Hinsicht wertvoll. Namen, Benutzernamen und Rollen von Ermittlern und Compliance-Teams sind Material für gezieltes Phishing. Passwort-Hashes lassen sich je nach Verfahren und Passwortstärke offline knacken. Und gültige Tokens können – abhängig davon, wofür sie ausgestellt wurden – Zugriff ganz ohne Passwort ermöglichen. Hinzu kommt die Rolle von KYT im Tagesgeschäft: Kryptobörsen und Finanzdienstleister prüfen damit Transaktionen auf Geldwäsche-Risiken. Wie Kunden während des Ausfalls ihre Transaktionen prüfen, erklärte Chainalysis laut The Record nicht.

Rückkehr nur mit IP-Allowlist und neuen Schlüsseln

Am 6. November um 3:30 Uhr Ostküstenzeit (9:30 Uhr deutscher Zeit) meldete Chainalysis, man habe begonnen, KYT und Address Screening stufenweise wieder freizugeben; weitere Kunden sollten im Lauf der folgenden Stunden Zugang erhalten. Voraussetzung ist, dass Kunden vertrauenswürdige IP-Adressen für eine Allowlist einreichen. Sobald der Zugang freigeschaltet ist, müssen alle Nutzer ihr Passwort zurücksetzen und, sofern vorhanden, ihre API-Schlüssel rotieren, bevor sie wieder Transaktionen registrieren können. An Reactor und Data Solutions arbeite man gemeinsam mit externen Sicherheitsexperten weiter. Einen Termin für deren Rückkehr nannte das Unternehmen nicht.

Was Chainalysis-Kunden jetzt tun sollten

  • Passwort neu setzen – nur über die Login-Seite. Chainalysis rät ausdrücklich, die gewohnte Login-Seite direkt aufzurufen und keine Links aus E-Mails zum Zurücksetzen anzuklicken.
  • Wiederverwendete Passwörter überall ändern. Wer das Chainalysis-Passwort auch bei anderen Diensten genutzt hat, sollte es dort ebenfalls ersetzen, und zwar jeweils durch ein eigenes, langes Passwort. Weil Hashes offline angegriffen werden können, gilt das auch für Passwörter, die bisher als stark galten.
  • API-Schlüssel rotieren und alte widerrufen. Neue Schlüssel in allen Integrationen hinterlegen – im Secrets-Management, in CI/CD-Pipelines und Skripten – und prüfen, dass die alten Schlüssel nicht mehr funktionieren.
  • Tokens und Sitzungen als kompromittiert behandeln. Solange unklar ist, was „live tokens“ genau sind, empfiehlt es sich, aktive Sitzungen zu beenden und die eigenen Protokolle auf ungewöhnliche Zugriffe seit Oktober zu prüfen.
  • IP-Allowlist einreichen und Zwei-Faktor-Authentifizierung aktivieren. 2FA empfiehlt Chainalysis seinen Kunden bereits seit dem 30. Oktober dringend.
  • Mit Phishing rechnen. Chainalysis warnt vor unerwarteten Aufforderungen zum Zurücksetzen von Passwörtern und vor unerwarteten Anmeldeanfragen. Mit Namen, Benutzernamen und Rollen haben Angreifer das Material für sehr glaubwürdige Mails in der Hand. Im Zweifel den Support oder das Account-Team über bekannte Kanäle kontaktieren.

Quellen

Bildnachweis