chainstack

Pada 12 November, Chainstack merilis laporan insiden secara terbuka. Pada 26 Oktober, penyerang masuk ke lingkungan pengembangan penyedia layanan infrastruktur node ini. Pada 29 Oktober, mereka berhasil mengakses sebagian sistem di lingkungan produksi. Mereka terdeteksi dan aksesnya diputus pada 31 Oktober, lalu penyelidikan selesai pada 2 November. Informasi akun pelanggan mungkin telah diakses, dan kredensial node dianggap bocor. Pelanggan kini diminta mengganti kata sandi, merotasi kredensial, dan membuat ulang kunci API. Node, konsol, dan API pelanggan tidak diubah. Informasi kartu bank tidak bocor karena memang tidak disimpan.
Titik masuknya sangat sederhana. Di klaster Kubernetes untuk pengembangan, terdapat Grafana yang terekspos ke internet. Kata sandi admin bawaannya tidak pernah diganti, dan tidak ada sistem masuk tunggal maupun autentikasi dasar. Grafana memiliki fitur proksi sumber data yang dapat meneruskan permintaan ke layanan internal. Penyerang memanfaatkannya untuk mengakses server alat MCP yang tidak memerlukan autentikasi. Akun layanan server tersebut memiliki hak administrator klaster. Pada 31 Oktober, penyerang membaca banyak kunci dari penyimpanan kunci produksi, lalu menggunakan kunci VPN curian untuk tersambung ke jaringan basis data dan memeriksa basis data produksi.