Chainalysis ujawnia pełny zakres włamania: skradzione dane wszystkich użytkowników

Przedstawiciele firmy Chainalysis potwierdzili, że podczas niedawnego ataku cybernetycznego sprawcy uzyskali dostęp do nazwisk, nazw logowania, skrótów haseł oraz aktywnych tokenów wszystkich użytkowników platformy. Wstępne doniesienia sugerowały, że wyciek dotyczył wyłącznie niechronionych danych, jednak pogłębione śledztwo wykazało znacznie poważniejszy charakter incydentu. Firma przyznała, że konsekwencje ataku były o wiele bardziej dotkliwe niż początkowo zakładano.

W końcowej fazie października 2026 roku specjaliści Chainalysis wykryli naruszenie bezpieczeństwa wewnętrznych systemów. Wtedy informowano, że atakujący wykorzystali automatyzację opartą na sztucznej inteligencji do przeprowadzenia inwazji. Wówczas ujawniono, że sprawcy dostali się do identyfikatorów użytkowników, adresów e-mail oraz informacji o ich rolach w organizacjach. Początkowo firma klasyfikowała te dane jako mało wrażliwe i twierdziła, że hasła oraz tokeny pozostały bezpieczne.

Dalsze analizy wykazały, że sprawcy przeprowadzili atak typu przechwycenie w locie, przechwytując ruch sieciowy między użytkownikami a usługami firmy. Choć początkowo sądzono, że naruszono tylko część haseł, okazało się, że skala wycieku objęła wszystkich klientów. Chainalysis specjalizuje się w analizie łańcucha bloków i śledzeniu transakcji kryptowalutowych, co czyni jej narzędzia kluczowymi w dochodzeniach dotyczących oszustw, wyłudzeń oraz prania pieniędzy. Do grona klientów należą agencje rządowe, wymiar sprawiedliwości, giełdy kryptowalut oraz banki, w tym Federalne Biuro Śledcze, Służba Imigracyjna i Celna Stanów Zjednoczonych, Siły Powietrzne Stanów Zjednoczonych, Microsoft, Coinbase oraz Barclays.

Specjaliści podkreślają, że nie znaleziono dowodów na to, by sprawcy uzyskali dostęp do materiałów śledczych lub ingerowali w systemy atrybucji adresów łańcucha bloków. Po wykryciu ryzyka naruszenia haseł firma zablokowała dotknięte konta. Następnie, po zaobserwowaniu nowej podejrzanej aktywności, tymczasowo ograniczono dostęp do szeregu usług dla wszystkich klientów. Wyłączono stronę logowania, platformy Reactor oraz Data Solutions, usługę monitorowania transakcji KYT oraz narzędzia do weryfikacji adresów.

Obecnie dostęp do usług jest stopniowo przywracany. Klienci są proszeni o zgłoszenie zaufanych adresów IP, które zostaną dodane do listy dozwolonych. Po odzyskaniu dostępu wszyscy użytkownicy muszą zmienić hasła, a w razie potrzeby również klucze API. Wciąż pozostaje wiele niewiadomych. Firma nie wyjaśniła, która część infrastruktury została naruszona, co umożliwiło atak przechwycenia w locie, ani czy sprawcy mogli odszyfrowywać przechwycony ruch. Szczegóły dotyczące roli agentów sztucznej inteligencji w włamaniu również nie zostały ujawnione. Sprawca ataku pozostaje nieznany, choć firma wskazuje na podobieństwa do innych incydentów dotykających platform technologicznych w ostatnich tygodniach.