شرکت چینالیسیس (Chainalysis) می‌گوید هکرها اطلاعات ورود و توکن‌های تمام مشتریانش را به سرقت برده‌اند

این شرکت اعلام کرد که یک «حمله سایبری چندجانبه» شامل عامل‌های هوش مصنوعی و سرقت داده‌ها در مسیر (on-path) بوده است.

شرکت تحلیل بلاک‌چین چینالیسیس اعلام کرد که هکرها پس از نفوذ به امنیت شبکه این شرکت، اطلاعات حساس شخصی—از جمله نام‌ها، نام‌های کاربری، هش رمزهای عبور و توکن‌های فعال—تمام کاربران خود را به دست آورده‌اند.

این دستاورد می‌تواند یک پیروزی بزرگ برای مهاجمان باشد. هم چینالیسیس و هم منابع عمومی فهرست بلندی از مشتریان سرشناس این شرکت، از جمله نهادهای دولتی مانند اف‌بی‌آی، اداره مهاجرت و گمرک ایالات متحده، و نیروی هوایی ایالات متحده، و همچنین شرکت‌های خصوصی مانند مایکروسافت، کوین‌بیس و بارکلیز را فاش کرده‌اند. مشخص نیست که آیا سرقت این داده‌ها مشتریان را در معرض تهدیدات اضافی قرار داده است یا خیر.

مایه تأسف است که به اطلاع شما برسانیم…

جمعه گذشته، چینالیسیس اعلام کرد که در ماه اکتبر هدف یک حادثه سایبری قرار گرفته است که مشابه هک سایر پلتفرم‌ها در همان ماه بوده است. عامل خارجی از تکنیک‌های تهاجمی مبتنی بر عامل هوش مصنوعی استفاده کرده تا به سیستم‌ها و ابزارهای داخلی چینالیسیس دسترسی غیرمجاز پیدا کند. در ایمیلی که این شرکت به مشتریان آسیب‌دیده ارسال کرده، آمده است که به برخی «داده‌های غیرحساس مشتریان، مانند شناسه‌های کاربری، نام کامل، آدرس‌های ایمیل و برچسب‌های نقش سازمانی برای کاربران فعال روی پلتفرم ما دسترسی پیدا شده است.» مشخص نیست چرا این شرکت چنین اطلاعاتی را «غیرحساس» می‌داند.

این شرکت در بروزرسانی روز چهارشنبه اعلام کرد که بخشی از «حمله سایبری چندجانبه در حال جریان» شامل یک «حمله در مسیر (on-path)» بوده که زیرمجموعه‌ای از رمزهای عبور مشتریان را افشا کرده است، و بردار حمله شناسایی و اصلاح شده است. حملات در مسیر که با عنوان حمله شخص میانجی (adversary-in-the-middle) نیز شناخته می‌شوند، زمانی رخ می‌دهند که یک هکر به بخشی از زیرساختی که ترافیک را بین دو طرف جابه‌جا می‌کند، دسترسی پیدا می‌کند. چینالیسیس هنوز نگفته است که سازش زیرساختی در کجا رخ داده و آیا داده‌های به‌دست‌آمده از آن با پروتکل TLS رمزگذاری شده بوده‌اند یا خیر.

این شرکت بعدازظهر همان روز اعلام کرد که بررسی‌های انجام‌شده دو روز قبل (در روز دوشنبه) نشان داده است که «برخی اطلاعات مشتریان از جمله نام‌ها، نام‌های کاربری، هش رمزهای عبور و توکن‌های فعال برای تمام کاربران چینالیسیس در معرض دید یک عامل مخرب قرار گرفته است.» این شرکت همچنین اعلام کرد که «فعالیت غیرعادی» تشخیص داده و در واکنش به آن، صفحه ورود به سیستم و سرویس «شناخت تراکنش» (know-your-transaction) خود را که تهدیدات دارایی‌های رمزارز را به صورت بلادرنگ رصد می‌کند، از دسترس خارج کرده است. این شرکت همچنین دسترسی به سرویس‌های Reactor و Data Solutions خود را مسدود کرده است.

چینالیسیس در بروزرسانی روز جمعه اعلام کرد که روند بازگرداندن دسترسی مشتریان به سرویس‌های KYT و Address Screening را آغاز کرده و انتظار دارد مشتریان بیشتری به این چرخه بپیوندند. این شرکت از مشتریان خواست تا آدرس‌های IP مورد اعتماد خود را ارسال کنند تا به فهرست مجاز (allow list) اضافه شوند و آماده باشند تا پس از بازیابی دسترسی، اطلاعات ورود خود را بازنشانی کنند. این تغییر اعتبارنامه‌ها اجباری است.

این شرکت می‌گوید بررسی‌هایش هنوز هیچ شواهدی مبنی بر دسترسی به داده‌های تحقیقاتی یا دستکاری داده‌های انتسبابی چینالیسیس نیافته است.

چندین سوال مهم بدون پاسخ باقی مانده است. همان‌طور که اشاره شد، منبعی که حمله در مسیر را امکان‌پذیر کرده است همچنان ناشناخته است. مشخص نیست اطلاعات به‌دست‌آمده در چنین حمله‌ای چقدر می‌تواند مفید باشد، مگر اینکه مهاجمان توانایی رمزگشایی ترافیکی را که نظارت می‌کردند نیز داشته باشند. اگر چنین بوده باشد، مهاجمان ممکن است کنترل گسترده‌ای بر زیرساخت شرکت به دست آورده باشند.

چینالیسیس همچنین توضیح نداد که چرا با وجود کشف افشای اطلاعات شخصی تمامی مشتریان توسط تیم تحقیق خود در دو روز قبل، تا روز چهارشنبه برای افشای آن صبر کرده است. علاوه بر این، این شرکت هیچ جزئیاتی درباره عامل‌های هوش مصنوعی مورد استفاده در این حمله و نحوه کارکرد آن‌ها ارائه نکرده است.

یکی از نمایندگان چینالیسیس گفت که این شرکت فراتر از بیانیه‌های منتشرشده در وبلاگ خود، توضیح دیگری نمی‌دهد.