Signal
📡 Signal｜Chainalysis に AI エージェント型の侵入、顧客の氏名とメールが流出
Chainalysis が社内システムへの侵入を公表。顧客の利用者の氏名・メール・役割ラベルが見られ、攻撃者は AI エージェント的な手法を使ったという。
ブロックチェーン分析の Chainalysis は 10 月 30 日 (米国時間)、外部の攻撃者に社内のシステムと内部ツールへ侵入されたと公表した。顧客の組織で同社のツールを使う人の利用者 ID・氏名・メールアドレス・組織内の役割ラベルが見られ、同社は攻撃者が「offensive agentic techniques」(攻撃用の AI エージェント的な手法) を使ったと説明している。
Chainalysis 公式ブログ「Security Incident」(10 月 30 日・顧客通知の全文)Chainalysis
資金の流れを追う側の会社が、誰がどの組織で追っているかという名簿を抜かれた。調査の中身には触れられていないとしても、名簿そのものが次の攻撃の材料になる。
公表された範囲と、まだ出ていないこと
Chainalysis は影響を受けた顧客へ通知を送り、米国時間 30 日の夜にその全文をブログに載せた。The Block によると侵入は 10 月中で、最初に表に出したのは X の International Cyber Digest だった。
同社が「現時点の証拠」で見られていないとしたのは次のものだ。
- 調査の中身 (グラフ・メモ・ケース)
- 取引や照会の結果
- 平文のパスワード、多要素認証 (MFA) の秘密情報、セッショントークン
公表されていないのは、影響を受けた顧客の数、悪用された脆弱性、AI エージェントが侵入のどの段階でどう使われたか、侵入に気づいた日の 4 点だ。The Block の個別の質問に同社は答えていない。組織ごとにどの記録が見られたかは、後日それぞれに知らせるとしている。
同社は、今回の件が Binance の流出とは無関係だとも明記した。
名簿が狙われる理由
Chainalysis は自社の顧客を「70 か国超の政府機関、取引所、金融機関、サイバーセキュリティ企業」と説明している。Binance から約 63 億ドルが流出した件でも、同社は流出額の推計や資金洗浄の経路の分析を公表してきた。
流出したのは、その顧客の側で誰がツールを使い、どんな役割を持っているかという情報だ。同社は「機微でない顧客データ」と位置づけるが、捜査や不正対策の担当者の氏名・所属・役割がそろった一覧は、本人になりすます詐欺メールや偽のログイン画面を送る宛先として格好の材料になる。同社が顧客に求めた対策も、予期しないパスワード再設定の依頼や認証の要求に警戒し、二要素認証を有効にすることだった。名簿の次に来る攻撃を、同社自身も想定している。
AI を使う攻撃と、AI を使う守り
攻撃者の手法について同社が語ったのは「offensive agentic techniques」という一語と、業界全体で AI を使ったサイバー攻撃が増えているという認識だけだ。手口が分からない以上、AI がどこまで攻撃を自動化したのかは判断できない。
守りの側も同じ道具に寄っている。Chainalysis は外部のセキュリティ専門家を入れたうえで、悪用された箇所に限らず、大規模言語モデル (LLM) を使って自社のプラットフォーム全体の安全性を見直すとしている。10 月 28 日には Bitcoin Core が、LLM による自動の走査で見つかった脆弱性 3 件を公表したばかりだ (10 月 29 日の記事)。脆弱性を見つける速さは攻める側と守る側の両方で上がっており、穴が開いてから突かれるまでの時間は短くなる。
次に見るもの
確認先は Chainalysis の同じ告知ページだ。同社は調査の進み具合に応じて更新するとしている (日付は示していない)。次の更新で、影響を受けた組織の数と、悪用された脆弱性・AI エージェントの使われ方が示されるかどうかを見る。手口が具体的に出れば、分析会社や取引所が自社の内部ツールの守りを見直す基準になる。
ことば
- Chainalysis — ブロックチェーン上の資金の流れを追う分析会社。流出事件のたびに資金の行き先や推計額を公表し、各国の政府機関や取引所が同社のツールを使う。今回は自社が侵入を受ける側に回った。
- エージェント型の攻撃 (agentic techniques) — AI が目的に沿って手順を自分で組み、ツールを操作しながら攻撃を進める手法。人が一手ずつ操作するより速く、広く試せる。今回、同社は具体的な使われ方を明かしていない。
- 多要素認証 (MFA) — パスワードに加え、スマートフォンのアプリや専用の鍵など別の手段で本人を確かめる仕組み。名簿が漏れたあとのなりすましに対する、最も基本的な備えになる。
🔗 一次ソース
