チェイナリシス、全ユーザーのパスワードハッシュ露出　KYTも停止

全ユーザーの認証情報が攻撃者に露出

ブロックチェーン分析大手のチェイナリシス（Chainalysis）は米東部時間4日深夜、全ユーザーの氏名やユーザー名、パスワードハッシュ、ライブトークンが攻撃者に露出していたと公式ブログで公表した。露出を把握したのは2日だという。

パスワードハッシュは元のパスワードを直接は復元できない形に変換した値で、ライブトークンはログイン状態を保つために発行される、有効な状態の認証トークンを指す。同社は、調査データへのアクセスや、アドレスの持ち主を特定する帰属データ（アトリビューションデータ）の改ざんを示す証拠は、現時点で確認されていないとしている。

これに先立つ4日朝の更新では、「オンパス攻撃」と呼ぶ手口で一部顧客のパスワードが露出したとして、該当する顧客にメールで通知し、アカウントをロックした。この攻撃経路は封じ込め済みと説明する。同じパスワードを他のサービスで使い回している場合は、そちらも変更するよう呼びかけた。

10月30日の初報から被害範囲を修正

10月30日の初報で同社は、外部の攻撃者が攻撃的なエージェント型の手法を使い、システムと社内ツールに不正アクセスしたと公表していた。アクセスされたのはユーザーIDや氏名、メールアドレス、組織内の役割ラベルで、同社は「機密性のない一部の顧客データ」と位置づけた。業界全体でAIを使ったサイバー攻撃が増えているとも述べ、バイナンスで起きた盗難事件とは無関係だと説明していた。

初報の時点では、調査内容や認証情報、平文のパスワード、多要素認証（MFA）のシークレット、セッショントークンへの不正アクセスの兆候はないとしていた。

4日の更新では、認証に使われる情報のうちパスワードハッシュと有効なトークンが、全ユーザー分露出していたことを明らかにした。4日朝の更新では、オンパス攻撃により一部顧客のパスワードそのものが露出したとも説明している。MFAシークレットの露出には触れていない。

KYT停止、AML業務に影響

同社は2日、主力の調査ツール「Reactor」とデータ製品「Data Solutions」を予防的に停止した。一方で取引監視製品については、顧客のマネーロンダリング検知に欠かせないとして、監視を強めながら稼働を続ける判断をしていた。

4日になって異常な活動を検知し、KYT（画面とAPI）とアドレススクリーニング製品、ログインページを停止した。KYTのアカウントに不正アクセスがあったとみられる顧客には、個別に通知している。

KYT（Know Your Transaction）は、仮想通貨の送受金をリアルタイムで監視し、不正資金とのつながりをリスクとして判定するツールで、取引所などがマネーロンダリング対策（AML）に使う。

同社は米東部時間5日にKYTとアドレススクリーニングの復旧を始める方針を示した。顧客が信頼できるIPアドレスを同社に伝えて許可リストに登録し、そのうえでパスワードの再設定とAPIキーの更新を行う手順だ。

英エリプティック（Elliptic）は、予備の監視手段として使えるサービス「Fast track monitoring」を提供している。スクリーニング製品「Lens」と資金追跡製品「Investigator」に短期間で登録でき、標準のリスクルールで既存の体制と並行して使える。90日間の有料サービスで、照合データにはバイナンスやバイビットの不正流出に関連するアドレスも含む。

エリプティックは、犯罪者は一度成功すればよいがコンプライアンス担当は毎回正しくなければならないとし、予備の体制を持つ必要性を説く。

チェイナリシスは、ReactorとData Solutionsについてシステムの強化作業を続けながら再開を目指す。

再開にあたっては全ユーザーにパスワードの再設定を求め、必要に応じてAPIキーの更新も求める。同社の公式ブログは日本時間6日時点で米東部時間4日午後11時の更新が最新で、KYTの復旧開始を伝える記載はない。