📡 Signal｜Chainalysis、全利用者のパスワードのハッシュが露出 KYT も一時停止

ブロックチェーン分析の Chainalysis は11月4日 (米国東部時間23時)、全利用者のパスワードのハッシュと有効なトークンが攻撃者の手に渡ったと、同社の侵害の告知ページで更新した。10月30日の最初の公表では「認証情報やセッショントークンへの不正なアクセスの証拠はない」としていた。主力の取引監視サービス KYT は11月4日から止まり、7日に強化した安全策の下で再開した。

Chainalysis 公式ブログ「Security Incident」(10月30日〜11月7日の更新・時系列)Chainalysis

最初の公表で流出したのは、顧客の組織の利用者の氏名とメールアドレスだった (11月1日の Signal)。それから1週間で、名簿の流出はログインの鍵の流出に広がり、政府機関や取引所が資金の流れを調べるための道具が数日止まった。

初期報は11月6日の速報で伝えた。

告知ページの更新を時系列で並べる

同社の告知ページの更新 (米国東部時間) は次のとおりだ。

• 10月30日 — 外部の攻撃者が「攻撃用の AI エージェント的な手法」で社内のシステムと内部ツールに侵入。利用者 ID・氏名・メール・組織内の役割が見られた。調査の中身・認証情報・セッショントークンへのアクセスの証拠はないとした
• 11月2日 — 予防措置として調査ツール Reactor とデータの提供サービスを停止。KYT は監視しながら稼働を続けた
• 11月4日9時50分 — 通信の途中に割り込む攻撃 (on-path attack) で、一部の顧客のパスワードが露出したと公表。対象の顧客のアカウントを凍結し、パスワードの再設定を求めた
• 11月4日10時30分 — KYT (画面と API)、ほかのアドレス審査の製品、ログイン画面を停止
• 11月4日23時 — 全利用者のパスワードのハッシュと有効なトークンが攻撃者に露出したと更新。調査のデータへのアクセスの証拠は引き続きないとした
• 11月6日3時30分 — KYT とアドレス審査を段階的に再開。利用者はパスワードの再設定と API キーの交換を済ませてから取引を登録する。信頼できる IP アドレスの登録も求めた
• 11月7日13時50分 — Reactor、KYT、アドレス審査が強化した安全策の下で復旧

同じ日の朝に「一部」としたパスワードの露出は、その夜に「全利用者」へ広がった。最初の公表の「認証情報やセッショントークンへのアクセスの証拠はない」という説明も、ここで覆った。

止まったのは資金の流れを調べる道具

KYT は、取引所などが入出金のたびに相手のアドレスを照会し、制裁の対象や盗まれた資金とのつながりを自動で調べるサービスだ。止まっている間、KYT に頼る取引所は、入出金の審査を別の手段で回すか、処理を遅らせるしかない。同社が顧客と説明する70か国超の政府機関、取引所、金融機関の一部にとって、11月4日から7日は資金の流れの監視が手薄になった期間になる。

同じ時期、市場では Binance から流出した60億ドル超の資金の行方が追われていた。同社は、今回の侵害が Binance の流出とは無関係だと最初の公表で明記している。

公表されていないこと

告知ページは、次の点をまだ示していない。

• 影響を受けた顧客の組織の数
• パスワードのハッシュの方式 (解読のしやすさを左右する)
• 悪用された脆弱性と、通信に割り込んだ経路の詳細
• AI エージェント的な手法が侵入のどの段階で使われたか
• データの提供サービスと Chain (Beta) の再開の時期

同社は、割り込みの経路は「封じ込めて修正した」としている。

次に見るもの

確認先は、Chainalysis の同じ告知ページだ。同社は組織ごとに何が見られたかを後日それぞれに知らせるとしており、影響を受けた組織の数と、ハッシュの方式が示されるかを見る。利用者の側では、Chainalysis と同じパスワードを他のサービスで使っていた担当者が、そちらも変えたかどうかが、名簿の次に来る攻撃を左右する。

ことば

• パスワードのハッシュ — パスワードを元に戻しにくい形に変換した値。そのままではログインに使えないが、方式が弱いと総当たりで元のパスワードを割り出される。
• KYT (Know Your Transaction) — 取引の相手先のアドレスを照会し、制裁や犯罪との関係の危険度を自動で判定する Chainalysis のサービス。取引所の入出金の審査に広く使われる。
• on-path attack — 利用者とサーバーの間の通信の経路に割り込み、やり取りを盗み見たり書き換えたりする攻撃。中間者攻撃とも呼ばれる。

🔗 一次ソース

• Chainalysis 公式ブログ「Security Incident」(10月30日〜11月7日の更新・時系列)Chainalysis
• Chainalysis 会社概要 (顧客の説明)Chainalysis