Chainalysis tager efterforskningsværktøjer offline efter databrud

Chainalysis har taget flere af sine værktøjer til analyse af kryptotransaktioner offline som led i håndteringen af et databrud. Blandt de berørte produkter er efterforskningsværktøjet Reactor og Data Solutions. Nedlukningen blev meldt ud mandag den 2. november, og tirsdag morgen fortsatte det sikkerhedsrelaterede arbejde ifølge selskabets driftsmeddelelse.

Den konkrete konsekvens er, at kunder må skelne mellem værktøjer til efterforskning og den transaktionsovervågning, som selskabet har valgt at holde i drift. Samtidig skal de være opmærksomme på misbrug af lækkede kontaktoplysninger.

Arbejdet fortsatte tirsdag morgen

Chainalysis’ statusside registrerede sikkerhedsarbejdet fra mandag klokken 16.50 dansk tid. Senere samme aften blev Data Solutions, Chain i beta og Rapid også nævnt som midlertidigt utilgængelige. Nogle overvågningsfunktioner i Hexagate kunne blive påvirket.

Tirsdag klokken 09.55 dansk tid lød den seneste driftsopdatering ved redaktionens kontrol fortsat, at arbejdet var i gang. Der var ikke oplyst et tidspunkt for fuld genåbning. Statusoversigten markerede Reactor med forringet drift.

Virksomheden beskriver nedlukningen som en forsigtighedsforanstaltning, mens eksterne sikkerhedseksperter medvirker til yderligere undersøgelser før genåbning. I mandagens meddelelse fastholder den driften af produkter til kontrol af kryptotransaktioner, som blandt andet bruges til at opdage hvidvask.

Kontakter blev tilgået, men sagen er ikke færdigundersøgt

Databruddet blev først omtalt af Chainalysis fredag den 30. oktober. Ifølge selskabet fik en ekstern aktør adgang til interne systemer og oplysninger som bruger-id’er, navne, mailadresser og brugernes roller i deres organisationer.

Selskabet siger, at det hidtil ikke har fundet tegn på adgang til efterforskningssager, noter, transaktions- eller forespørgselsresultater, adgangskoder i klartekst, hemmeligheder til flerfaktorlogin eller sessionstokens. Det er foreløbige undersøgelsesresultater, ikke en afsluttet kortlægning af alle handlinger.

Chainalysis vil give kunderne nærmere oplysninger om de berørte poster. Et samlet antal berørte personer fremgår ikke af meddelelsen.

WorkOS beskriver en særskilt hændelse

Mandag offentliggjorde WorkOS også en sikkerhedsmeddelelse om uautoriseret adgang, som selskabet opdagede den 30. oktober. Her var et internt salgsværktøj berørt.

WorkOS oplyser, at materialet omfattede erhvervskontakter, kundehistorik, opsummeringer og uddrag fra salgssamtaler, supportdialog og kunders Slack-samtaler. Desuden indgik oplysninger om produktbrug og forbindelsers eller katalogers driftstilstand.

Der er ifølge WorkOS ikke fundet beviser for adgang til applikationsdata eller påvirkning af produktionstjenesterne. Selskabet har lukket den eksterne adgang til det pågældende værktøj og indkaldt uafhængig hjælp til undersøgelsen. Berørte kunder skal kontaktes direkte.

De to meddelelser dokumenterer forskellige hændelser. De giver ikke grundlag for at konkludere, at samme angriber står bag.

AI-forklaringerne har fortsat grænser

Chainalysis beskriver brug af agentbaserede angrebsteknikker. WorkOS siger, at et AI-understøttet værktøj blev brugt til at automatisere rekognoscering og forsøg på udnyttelse.

Help Net Security bemærker i sin dækning, at Chainalysis ikke har uddybet de konkrete teknikker. Man kan derfor ikke ud fra meddelelsen fastslå, hvilke angrebstrin en AI-model selv udførte, eller hvor meget et menneske styrede.

Det samme fagmedie beskriver Chainalysis’ rolle med at forbinde blockchain-adresser med eksempelvis børser og andre identificerbare aktører. Kunderne omfatter blandt andet finansielle virksomheder og myndigheder. Derfor kan både utilgængelige analyseværktøjer og lækkede brugeroplysninger have betydning, selv om der ikke er dokumenteret tyveri af selve efterforskningsindholdet.

Dansk relevans: Kontrollér henvendelsen ad en anden vej

For danske organisationer, der bruger tjenesterne, er det relevante næste skridt at følge leverandørernes direkte beskeder og kontrollere, hvilke brugere og arbejdsgange der er berørt. De gennemgåede meddelelser identificerer ikke bestemte danske ofre.

Kontaktoplysninger og samtaleuddrag kan gøre en falsk supporthenvendelse mere overbevisende. WorkOS advarer netop om, at henvisninger til en rigtig kollega eller tidligere samtale ikke i sig selv beviser, at en anmodning er ægte.

Sikkerdigital anbefaler danske virksomheder at have faste godkendelsesprocedurer for betalinger, bekræfte ændrede bankoplysninger telefonisk og bruge afsenderens officielle hovednummer ved tvivl. Efterspørges fortrolige oplysninger eller adgangskoder, bør en leder eller kollega inddrages. Ved konstateret økonomisk svindel skal banken og politiet kontaktes hurtigt.

Chainalysis anbefaler desuden opmærksomhed på uventede nulstillinger af adgangskoder og loginanmodninger samt aktivering af tofaktorlogin. Leverandørens videre kundemeddelelser skal afklare det individuelle omfang, mens genåbning af de lukkede produkter afhænger af sikkerhedsarbejdet.