A empresa de análise de blockchain Chainalysis afirma que as consequências de um incidente de cibersegurança divulgado na semana passada são mais amplas do que o informado inicialmente. Em um aviso atualizado publicado na quarta-feira, a empresa declarou que um agente malicioso expôs informações de clientes de todos os usuários da Chainalysis, incluindo nomes, nomes de usuário, hashes de senhas e tokens ativos.
Anteriormente, a Chainalysis havia afirmado que a invasão envolveu apenas dados não confidenciais de clientes e que não havia encontrado indícios de que os invasores tivessem acessado credenciais de autenticação ou tokens de sessão. O relato mais recente muda a avaliação dos riscos para os usuários e ressalta como as análises de incidentes podem evoluir à medida que o trabalho forense avança.
Principais conclusões
A Chainalysis afirma agora que tokens ativos, além de nomes, nomes de usuário e hashes de senhas, foram expostos para todos os usuários.
A empresa havia informado anteriormente um escopo mais restrito e afirmado que não encontrou indícios de comprometimento de credenciais de autenticação ou tokens de sessão.
A atualização de quarta-feira da Chainalysis também afirma que um “ataque on-path” levou à exposição das senhas de alguns clientes.
Apesar da exposição ampliada de dados, a Chainalysis afirma não ter indícios de que os invasores tenham acessado dados de investigações ou manipulado seus dados de atribuição.
A empresa afirma que está bloqueando as contas afetadas e exigindo a redefinição de senhas para reduzir o risco de novos problemas nas contas.
Escopo atualizado do incidente: de dados limitados a tokens ativos
Em sua atualização de quarta-feira, a Chainalysis afirmou que, na segunda-feira, identificou que “determinadas informações de clientes, incluindo nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários da Chainalysis” haviam sido expostas a um agente malicioso. A empresa não esclareceu na atualização se cada tipo de dado listado foi exposto para todos os usuários e se recusou a fornecer detalhes adicionais além da divulgação publicada.
A inclusão de tokens ativos aumenta consideravelmente o impacto potencial. Mesmo sem confirmação imediata de que contas foram assumidas, a exposição de elementos relacionados a sessões pode aumentar a probabilidade de tentativas de acesso não autorizado — sobretudo se os tokens continuarem válidos e utilizáveis por algum período. Para os usuários, essa mudança também sugere que talvez já não seja apropriado confiar exclusivamente na caracterização inicial de que os dados eram “não confidenciais”.
O que a Chainalysis informou originalmente em 30 de outubro
A divulgação anterior da Chainalysis, datada de 30 de outubro, descreveu a invasão como direcionada a IDs de usuário, nomes e endereços de e-mail. Na ocasião, a empresa afirmou não ter encontrado indícios de que os invasores tivessem acessado credenciais de autenticação ou tokens de sessão.
A atualização de quarta-feira não contradiz todos os elementos do comunicado anterior; em vez disso, amplia o que a Chainalysis acredita agora ter sido exposto e acrescenta outra dimensão por meio de um mecanismo “on-path”. A lição prática para os leitores é que os comunicados iniciais sobre incidentes podem mudar à medida que os investigadores determinam quais dados estavam realmente acessíveis e como o invasor interagiu com os sistemas.
Essa evolução é particularmente importante na comunicação sobre cibersegurança: os anúncios iniciais costumam buscar estabelecer os fatos básicos e as medidas imediatas de correção, enquanto atualizações posteriores podem refinar o escopo técnico quando as evidências forenses são analisadas por completo.
Senhas expostas por meio de um “ataque on-path”
Além da alegação de exposição mais ampla, a Chainalysis afirmou que outro aspecto do incidente envolveu um “ataque on-path” que expôs as senhas de alguns clientes. Segundo a atualização, a empresa conteve e corrigiu essa vulnerabilidade.
A Chainalysis também afirmou que está bloqueando as contas afetadas e exigindo que os usuários impactados pela parte do incidente que envolveu a exposição de senhas redefinam suas senhas. Essa medida é coerente com a natureza da exposição: mesmo que ela tenha se limitado a alguns clientes, a troca das credenciais costuma ser necessária para garantir que senhas roubadas não possam ser reutilizadas em outros lugares.
Embora a empresa não tenha especificado quantos usuários se enquadram na categoria de “alguns clientes”, o fato de as senhas terem sido supostamente envolvidas — diretamente por meio de um ataque on-path — significa que os usuários afetados devem tratar a redefinição de senha como urgente, e não opcional.
Nenhum indício de comprometimento dos dados de investigação e atribuição
Mesmo com o escopo ampliado da exposição de dados de clientes, a Chainalysis afirmou que ainda não tem indícios de que os invasores tenham acessado dados de investigações ou manipulado seus dados de atribuição. Para um provedor de análise que dá suporte a fluxos de trabalho de conformidade, rastreamento e investigação, essa distinção é importante: a exposição de informações de clientes gera preocupações com a segurança das contas e a privacidade, mas o acesso a sistemas de investigação ou atribuição implicaria um nível maior de interrupção operacional e um possível risco à integridade.
A Chainalysis não forneceu mais detalhes técnicos em sua atualização nem apresentou informações adicionais sobre a resposta ao incidente além do que já havia divulgado. No entanto, ao distinguir a exposição de dados de clientes dos conjuntos de dados centrais de investigação, a empresa sinaliza que — com base nas conclusões atuais — o acesso do invasor não se estendeu aos resultados e processos internos dos quais os clientes dependem.
Para os usuários que avaliam os riscos de fornecedores, essa distinção é uma nuance fundamental. Ela ajuda a determinar o que deve ser motivo de maior preocupação imediata (a segurança das contas e das credenciais) e o que continua sendo uma questão de longo prazo (a possibilidade de problemas de integridade dos sistemas, caso surjam novas evidências).
O que usuários e equipes devem acompanhar a seguir
Enquanto a Chainalysis continua avaliando o incidente, as principais questões em aberto são até que ponto cada elemento de dados foi exposto na base de usuários e se novas atualizações esclarecerão melhor a cronologia e o método técnico do comprometimento. Os usuários devem garantir que concluam todas as redefinições de senha exigidas, e as equipes de segurança devem monitorar atividades anômalas nas contas enquanto aguardam novos esclarecimentos da empresa.
Este artigo foi publicado originalmente como Chainalysis: violação expôs hashes de senhas e dados de tokens ativos no Crypto Breaking News — sua fonte confiável de notícias sobre criptomoedas, Bitcoin e atualizações sobre blockchain.