In questo articolo Indice dei contenuti 2 sezioni
Chainalysis, società specializzata nell’analisi della blockchain, ha confermato che una violazione della propria sicurezza informatica ha permesso a un gruppo di hacker di sottrarre informazioni personali delicate relative a tutti i suoi utenti. Nel bottino ci sono nomi, nomi utente, hash delle password e soprattutto token attivi, cioè chiavi di accesso ancora valide al momento del furto. Non una piccola parte della clientela, quindi, ma l’intera base di utenti registrati sulla piattaforma.
Per gli aggressori potrebbe trattarsi di un colpo di grande portata. Tra i clienti di Chainalysis, alcuni dichiarati dalla stessa azienda e altri emersi da fonti pubbliche, figurano nomi di primo piano. Ci sono agenzie governative come l’FBI, l’agenzia statunitense per l’immigrazione e le dogane (ICE) e l’aeronautica militare degli Stati Uniti, ma anche aziende private del calibro di Microsoft, Coinbase e Barclays. Al momento non è chiaro se il furto dei dati abbia esposto queste realtà a ulteriori minacce.
Chainalysis violata: un attacco su più fronti con l’aiuto dell’intelligenza artificiale
La vicenda è venuta a galla per gradi. Lo scorso venerdì la società ha comunicato di essere stata bersaglio di un incidente di sicurezza avvenuto a ottobre, simile agli attacchi subiti da altre piattaforme nello stesso mese. Secondo la ricostruzione ufficiale, un attore esterno ha sfruttato tecniche offensive assistite da agenti di intelligenza artificiale per ottenere un accesso non autorizzato ai sistemi e agli strumenti interni dell’azienda. In una email inviata ai clienti coinvolti, Chainalysis parlava di accesso a dati “non sensibili”, come ID utente, nomi completi, indirizzi email ed etichette dei ruoli all’interno delle organizzazioni. Perché informazioni del genere venissero considerate poco delicate, però, non è stato spiegato.
Mercoledì è arrivato un nuovo aggiornamento. L’azienda ha descritto un “attacco informatico in corso su più fronti”, che comprendeva anche un attacco on path capace di esporre una parte delle password dei clienti. Il vettore usato dagli aggressori, a quanto riferito, è stato individuato e chiuso. Questo tipo di attacco, noto anche come adversary in the middle, si verifica quando un malintenzionato riesce a infilarsi in un’infrastruttura che fa transitare il traffico tra due parti. Chainalysis non ha ancora indicato in quale punto sia avvenuta la compromissione né se i dati intercettati fossero protetti da crittografia TLS.
Poche ore dopo, nella stessa giornata, la società ha aggiunto un dettaglio decisivo. Un’indagine condotta due giorni prima, cioè lunedì, aveva rivelato che nomi, nomi utente, hash delle password e token attivi di tutti gli utenti Chainalysis erano finiti nelle mani di un soggetto malevolo. L’azienda ha inoltre rilevato un’attività anomala e ha reagito disattivando la pagina di login e il servizio know your transaction (KYT), che sorveglia in tempo reale le minacce ai patrimoni in criptovalute. Sospesi anche gli accessi ai servizi Reactor e Data Solutions.
Il ritorno graduale ai servizi e le domande ancora aperte
Nell’aggiornamento di venerdì Chainalysis ha annunciato di aver avviato una riattivazione progressiva degli accessi a KYT e Address Screening, con l’obiettivo di estenderla a un numero crescente di clienti. Agli utenti è stato chiesto di comunicare i propri indirizzi IP attendibili, così da inserirli in una lista di accesso consentito, e di prepararsi al reset delle credenziali non appena potranno rientrare. Il cambio delle credenziali è obbligatorio.
Stando all’azienda, finora l’indagine non ha fatto emergere prove di accessi ai dati delle investigazioni né di manipolazioni dei dati di attribuzione prodotti da Chainalysis.
Diversi punti, però, rimangono oscuri. Non si conosce ancora l’origine che ha reso possibile l’attacco on path, e non è chiaro quanto possano essere utili le informazioni raccolte in questo modo, a meno che gli aggressori non fossero anche in grado di decifrare il traffico intercettato. In quel caso avrebbero potuto ottenere un controllo ampio sull’infrastruttura della società.
C’è poi la questione delle tempistiche. L’azienda non ha chiarito perché abbia atteso fino a mercoledì per rendere noto il furto dei dati personali di tutti i clienti, quando l’indagine aveva già scoperto l’esposizione due giorni prima. Nessun dettaglio nemmeno sugli agenti di intelligenza artificiale impiegati nell’attacco e sul loro funzionamento. Un portavoce di Chainalysis ha fatto sapere che la società non intende commentare oltre quanto già pubblicato nel proprio blog.
Fonte: TecnoAndroid