Bezpečnostní firma, která pomáhá sledovat pohyb kryptoměn a vyšetřovat podezřelé transakce, se sama stala cílem útoku. Chainalysis nyní říká, že útočník získal údaje všech jejích uživatelů včetně hashů hesel a aktivních tokenů. A do toho přidává zmínku o AI agentech, která zní důležitě, jenže zatím je nepříjemně neurčitá.
Neunikla jen e-mailová adresa
Mezi vystavenými informacemi jsou jména, uživatelská jména, hashe hesel a takzvané live tokens, tedy aktivní tokeny používané k ověření přístupu. Hash hesla není heslo v čitelné podobě; jde o jeho jednosměrně vytvořený otisk. Přesto to není maličkost: slabá nebo opakovaně používaná hesla lze z hashů někdy odhadovat hádáním ve velkém.
Aktivní tokeny mě znepokojují ještě víc. Pokud jsou opravdu použitelné, mohou v určitých situacích fungovat podobně jako již otevřená relace po přihlášení. Z dostupných informací ale neplyne, jaké konkrétní možnosti s nimi útočník měl ani zda je skutečně využil.
Firma nejprve informovala zákazníky o přístupu k údajům jako jsou uživatelská ID, plná jména, e-mailové adresy a role v organizaci. V pozdějším zjištění, k němuž došla v pondělí, už šlo o informace všech uživatelů. Přihlášení a některé služby proto odstavila; znovu postupně zpřístupňuje KYT a Address Screening. KYT je služba, která průběžně monitoruje rizika kolem kryptoměnových prostředků.
On-path útok je podstatnější než zní
Jedna část útoku měla podobu on-path útoku, dříve označovaného také jako adversary-in-the-middle. Útočník se při něm dostane na infrastrukturu, přes kterou si dvě strany posílají data, a může provoz zachytávat nebo pozměňovat. Laicky: někdo se vám nenápadně postaví mezi prohlížeč a službu. Že to zní jako velmi špatná pozice pro cizího člověka, není moje přehnaná technická úzkost.
Chainalysis tvrdí, že cestu útoku identifikovala a opravila. Neuvádí ale, kde přesně byla kompromitovaná infrastruktura ani zda zachycený provoz chránilo šifrování TLS. Právě to je důležité pro posouzení rozsahu: samotné odchycení šifrovaného provozu nemusí znamenat, že útočník přečetl jeho obsah. Bez dalších detailů se nedá férově říct, co všechno mohl vidět či ovládat.
AI agenti: velké tvrzení, skoro žádné vysvětlení
Firma popisuje útok jako vícesměrný a uvádí, že útočník použil útočné techniky s pomocí AI agentů. Agent je program, který může s pomocí modelu samostatněji plánovat a provádět vícekrokové úkoly, třeba procházet systémy nebo obsluhovat nástroje. To je relevantní téma, protože podobné nástroje mohou útočníkům zrychlit průzkum a automatizovat opakované kroky.
Jenže mezi „s pomocí AI agentů“ a užitečným popisem incidentu je zatím propast. Nevíme, zda agent hledal zranitelnost, sestavoval phishing, automatizoval práci po průniku, nebo šlo o něco úplně jiného. Nevíme ani, zda šlo o běžně dostupný nástroj, vlastní systém útočníků, nebo jen o souhrnnou nálepku pro automatizaci. Mně osobně přijde škoda, že právě tahle část zůstala bez detailů: může se z ní stát poučení pro obránce, ale také jen efektní třípísmenná zkratka přilepená k nepříjemné bezpečnostní události.
Co by měli řešit zákazníci
Chainalysis požaduje povinnou výměnu přístupových údajů po obnovení přístupu a žádá zákazníky o důvěryhodné IP adresy pro allow list, tedy seznam adres, kterým systém přístup povolí. Zákazníci by si podle mě měli pohlídat hlavně dokončení této výměny a nepoužívat stejné heslo jako jinde. To poslední je nudná rada, vím. Únik hashů hesel ale přesně připomíná, proč je nudná rada občas docela praktická.
Chainalysis zatím nenašla důkaz, že někdo získal data z vyšetřování nebo manipuloval s jejími atribučními daty. To je dobrá zpráva, ale nejde o definitivní uzavření incidentu. Zůstává otevřené, jak útok začal, co přesně umožnil on-path prvek a proč firma zveřejnila zjištění o datech všech zákazníků až dva dny poté, co je odhalila.
Celá věc je připomínkou, že bezpečnostní společnosti nejsou diváci v hledišti, ale velmi lákavé cíle. Až se objeví konkrétnější popis role AI agentů, bude teprve možné posoudit, jestli šlo o skutečně novou taktiku, nebo o starý útok s novějším pomocníkem.
