Chainalysis bekräftar att hackare stal inloggningsuppgifter och token för alla användare

Företrädare för företaget Chainalysis har avslöjat nya detaljer om ett nyligen inträffat dataintrång och medgett att följderna av attacken är betydligt allvarligare än vad som initialt antogs. Det har framkommit att angripare lyckades komma över namn, inloggningsnamn, lösenordshashar och aktiva token för samtliga användare på plattformen. Denna uppdatering markerar en kraftig förändring från de första rapporterna där företaget hävdade att endast begränsad information hade exponerats.

Under slutet av oktober 2026 upptäckte säkerhetsexperter inom organisationen att interna system och verktyg hade äventyrats. Vid detta tillfälle meddelades det att angriparna hade utnyttjat så kallade agentbaserade attackmetoder, vilket innebär att artificiell intelligens användes för att automatisera intrånget. Den första bedömningen var att endast användaridentiteter, e-postadresser och information om roller inom organisationer hade nåtts, medan känsliga autentiseringsuppgifter ansågs vara intakta. Ytterligare utredning har dock visat att denna initiala bedömning var felaktig.

Den nya analysen avslöjar att gärningsmännen genomförde en attack av typen man-i-mitten, vilket innebar att de fångade upp datatrafik mellan användare och tjänster som tillhandahålls av företaget. Trots att forskare först trodde att endast en del av kundernas lösenord hade äventyrats, visade det sig att läckan omfattade hela användarbasen. De stulna uppgifterna inkluderar nu bekräftat både hashade lösenord och fungerande sessionstoken för varje enskild konto på plattformen, vilket utgör en kritisk säkerhetsbrist.

Eftersom företaget specialiserar sig på analys av blockkedjor och spårning av kryptovalutatransaktioner, används dess verktyg ofta vid utredningar av bedrägerier, utpressningsattacker och penningtvätt. Bland kunder och partners finns statliga myndigheter, brottsbekämpande organ, kryptobörser, banker och andra stora organisationer. Vissa produkter används direkt i utredningar utförda av brottsbekämpande myndigheter för att analysera rörelser av digital valuta och koppla transaktioner till specifika adresser. Företaget betonar att man hittills inte har funnit några tecken på att angripare fått tillgång till själva utredningsmaterialet eller kunnat påverka systemet för attribuering av blockkedjeadresser.

När det blev känt att delar av lösenordshasharna kan ha hamnat i händerna på hackare, blockerade företaget de berörda kundkontona. Senare observerades ny misstänkt aktivitet, vilket ledde till att åtkomsten till flera tjänster tillfälligt stängdes av för alla kunder. Detta inkluderade avstängning av inloggningssidor, analysplattformar, tjänster för övervakning av kryptovalutatransaktioner samt verktyg för verifiering av blockkedjeadresser. Åtkomsten återställs nu gradvis, och kunder uppmanas att lämna betrodda IP-adresser för att läggas till i en tillåten lista. Efter att åtkomsten återfåtts måste alla användare byta sina lösenord och vid behov även sina API-nycklar.

Flera viktiga detaljer kring attacken förblir dock okända. Företaget har ännu inte förklarat vilken specifik del av infrastrukturen som möjliggjorde attacken av typen man-i-mitten, ej heller om angriparna kunde dekryptera den fångade trafiken. Dessutom lämnas inga ytterligare uppgifter om användningen av artificiella intelligensagenter och deras exakta roll i intrånget. Identiteten på de som ligger bakom attacken är fortfarande okänd, även om företrädare noterar att incidenten liknar attacker mot andra teknikplattformar som skett de senaste veckorna.