צ'יינליסיס נפרצה: פרטי גישה של כלל המשתמשים נחשפו

צ'יינליסיס (Chainalysis), החברה המספקת שירותי ניתוח בלוקצ'יין לגופי אכיפה, לממשלות ולחברות פיננסיות, חשפה כי מתקפת הסייבר שחוותה הייתה חמורה מכפי שהעריכה בתחילה. לאחר שהודיעה כי נחשפו בעיקר פרטי קשר ומזהי משתמשים, אישרה החברה כי התוקפים השיגו גם שמות משתמש, גיבובי סיסמאות וטוקנים פעילים של כלל המשתמשים בפלטפורמה.

החברה זיהתה באוקטובר פעילות של גורם חיצוני שהשתמש, לפי הודעתה, בטכניקות תקיפה המבוססות על סוכני בינה מלאכותית כדי לחדור למערכות ולכלים פנימיים. היא לא פרסמה את זהות התוקפים או הסבר מפורט על אופן השימוש בטכנולוגיה, והדגישה כי לא נמצאו ראיות לגישה בלתי מורשית לתוכן חקירות.

מה נחשף במתקפה?

בהודעתה הראשונית, שפורסמה ב־30 באוקטובר, מסרה צ'יינליסיס כי המידע שנחשף כלל מזהי משתמשים, שמות מלאים, כתובות דואר אלקטרוני ותפקידים ארגוניים. באותה עת טענה החברה כי לא נמצאה אינדיקציה לחשיפת תוכן חקירות, תוצאות שאילתות, סיסמאות גלויות, סודות של אימות רב־שלבי או טוקנים המשמשים לניהול חיבורי משתמשים. אלא שב־4 בנובמבר עדכנה החברה את הממצאים, ואישרה כי נחשפו שמות, שמות משתמש, גיבובי סיסמאות וטוקנים פעילים של כלל המשתמשים. צ'יינליסיס דיווחה גם על מתקפה שבמסגרתה נחשפו סיסמאות של חלק מהלקוחות, והודיעה כי זיהתה את נתיב התקיפה הזה וטיפלה בו.

בעקבות גילוי הפעילות החריגה השביתה החברה כמה משירותיה, לרבות Reactor, המשמש לחקירות בלוקצ'יין, ו־Data Solutions, המספק מידע לניתוח פעילות ברשתות בלוקצ'יין. היא השביתה גם את ממשק המשתמש ואת ממשק התכנות של שירות KYT, המשמש לניטור עסקאות, לצד שירותי בדיקת כתובות ומערכות כניסה. החברה מסרה כי גייסה מומחי אבטחת סייבר חיצוניים לבדיקת האירוע ולחיזוק ההגנות. בנוסף, היא עושה שימוש במודלי שפה גדולים כדי לסייע בניתוח המתקפה, והחלה בהשבה הדרגתית של שירותים לפעילות.

צ'יינליסיס גם המליצה למשתמשיה להיזהר מבקשות בלתי צפויות לאיפוס סיסמאות ומבקשות אימות חשודות. החברה פועלת לחידוש גישת המשתמשים תוך דרישה להחלפת סיסמאות ולרענון מפתחות גישה רלוונטיים.

"מי שאמור לתפוס את התוקפים הפך בעצמו למטרה"

בצלאל איתן רביב, מנכ"ל ליונזגייט אינטליג'נס נטוורק (Lionsgate Intelligence Network), התייחס לפריצה בשיחה עם אנשים ומחשבים. לדבריו, "מדובר בכלי חקירת בלוקצ'יין, שגופי אכיפה וממשלות בעולם נשענים עליו. נחשפו שמות, שמות משתמש, סיסמאות מוצפנות וטוקנים פעילים של כל המשתמשים, וחשבונות KYT מסוימים נפרצו. החברה אומרת שאין עדות לגישה לתיקי החקירות, אבל כשהתוקף מחזיק בזהויות של החוקרים – השאלה כבר פתוחה".

רביב הביע חשש מהשלכות החשיפה על פעילות גופי החקירה המשתמשים בשירותי החברה. "מי שאמור לתפוס את התוקפים הפך בעצמו למטרה. זה כל כך מביך. זה לא קורה בוואקום: לפני כמה שבועות דלפו נתוני עובדים של הבולשת, ה-FBI", אמר.

לדבריו, "האירוע מצטרף לשוד המיליארדים ההיסטורי בביינאנס, לפירוק של אואנו, הבנק הדיגיטלי הגדול בפרגוואי וכן לצו של משרד האוצר האמריקאי נגד בורסת MEXC. אין עדיין הוכחה לקשר ישיר ביניהם, אבל התמונה הכוללת מדאיגה".

האירוע התרחש בסמיכות לגניבת הענק מבורסת הקריפטו בינאנס, שבמסגרתה נגנבו מטבעות דיגיטליים בשווי של כ־6.3 מיליארד דולר. עם זאת, צ'יינליסיס הדגישה כי המתקפה עליה אינה קשורה לאירוע בבינאנס, ולכן אין בסיס לקבוע כי מדובר באותה קבוצת תוקפים.

"אנו ממפים את נתיב הכסף"

רביב, יוצא יחידה 8200, הקים את ליונזגייט אינטליג'נס נטוורק לפני כארבע שנים. לדבריו, החברה מתמקדת בסיוע לקורבנות פרטיים של מתקפות והונאות בעולם הבלוקצ'יין, שאינם מקבלים בהכרח מענה מגופי החקירה והניטור הגדולים.

"אנו מנטרים לקוחות בעולם הבלוקצ'יין שאינם מנוטרים על ידי הגופים המנטרים הגדולים, גופי חקירה וממשלות", הסביר. "הלקוחות שלנו הם קורבנות, אבל פרטים יחידים – ולא תאגידים. יצרנו מסגרת מודיעינית חדשה, שמטרתה להשיב לקורבנות אלה את כספם. אנו ממפים את נתיב הכסף, את מסלול התקיפה, אוספים נתונים על הכסף והתוקפים וכך בונים תיק שחזור ללקוח, ומגדירים עבורו מה עליו לדרוש מגורמי האכיפה". לדברי רביב, חשיפת זהויותיהם של משתמשים בכלי חקירה עלולה להשפיע גם על האפשרות שלהם לפעול באופן חסוי. "לצערי, כמו במקרה של ה-FBI, כך גם במקרה זה: החיסיון של האנשים שפרטיהם נקצרו הפך אותם לחסרי כוח וללא רלוונטיים. זהו אירוע משנה את כללי המשחק. כל המידע הרגיש שלהם חשוף", אמר.

רביב הוסיף כי בחברתו מטופלים כבר כעשרת אלפים מקרי חקירה, וכי הוא מזהה עלייה חדה בהיקפן ובתחכומן של המתקפות. לדבריו, השילוב בין חשיפת נתוני גישה לבין המידע שניתן להסיק מזהויות המשתמשים מעורר דאגה מיוחדת בקרב גופים העוסקים בחקירת פעילות עבריינית.

החשש המרכזי: התחזות לחוקרים וללקוחות

בין לקוחות צ'יינליסיס נמנים בורסות קריפטו, בנקים, רשויות אכיפת חוק וגופים ממשלתיים ברחבי העולם. גם אם תוכן תיקי החקירה לא נחשף, המידע על זהויות המשתמשים ותפקידיהם עלול לסייע לתוקפים בביצוע מתקפות התחזות והנדסה חברתית. הפגיעה בחברת ניתוח הבלוקצ'יין בולטת במיוחד על רקע תפקידה בחקירת גניבות של מטבעות דיגיטליים. לאחר הפריצה לבינאנס והשימוש בשיטות הנדסה חברתית, שבה והודגשה חשיבות ההגנה על חשבונות עובדים, על זהויות ועל הרשאות גישה למערכות רגישות.

צ'יינליסיס עצמה פרסמה באחרונה ממצאים על פעילות של רשתות הקשורות לצפון קוריאה ועל ניסיונות להמיר נכסי קריפטו שנגנבו לכסף מזומן. החברה דיווחה גם כי חלקן של פריצות חשודות הקשורות לצפון קוריאה בהפסדי הקריפטו המדווחים גדל משמעותית במהלך השנים האחרונות. החקירה של המתקפה על צ'יינליסיס עדיין נמשכת. אף שהחברה אינה מדווחת על ראיות לגישה לתוכן חקירות, היקף החשיפה המעודכן ממחיש כי הפגיעה אינה מסתכמת בפרטי קשר, וכי גם זהותם ואמצעי הגישה של משתמשים בכלי חקירה רגישים עלולים להפוך למטרה.