Hackare stjäl inloggningsuppgifter för alla användare hos Chainalysis som säljer spårning av kryptovalutor till FBI och ICE

Kedjeanalysfirman Chainalysis – som säljer spårning av kryptovalutor till FBI, den amerikanska migrations- och tullmyndigheten, flygvapnet, Microsoft, Coinbase och Barclays – har erkänt att hackare fick tag i namn, användarnamn, lösenordskontrollsummor och aktiva sessionstoken för samtliga av företagets användare.

Företaget beskrev först händelsen i oktober som en säkerhetsincident där "offensiva tekniker med hjälp av AI-agenter" använts, och betecknade initialt den läckta kunddatan som "okänslig" – en kategori som tydligen inkluderade fullständiga namn, e-postadresser och uppgift om kundens roll inom organisationen. En senare uppdatering medgav att en så kallad mellanmansattack exponerat en delmängd av kundernas lösenord, och en därpå följande utredning visade att inloggningsuppgifter och aktiva token för varje Chainalysis-användare hade exponerats för en illvillig aktör. Företaget har stängt av sin inloggningssida och sin transaktionsövervakningstjänst, kräver att alla kunder byter lösenord och ber dem nu lämna in betrodda IP-adresser till en tillåtelselista.

Skillnaden mellan "okänslig kunddata" och "lösenordskontrollsummor och aktiva token för alla användare" tog två dagar att erkänna, och företaget har inte förklarat glappet. Det har inte heller sagt var mellanmansattacken ägde rum – det vill säga vilken del av infrastrukturen mellan kunderna och Chainalysis som äventyrats – eller om den fångade trafiken var krypterad. Kunde angriparna dekryptera det de övervakade, kan de ha fått vidsträckt kontroll över företagets system. Chainalysis uppgir att man inte funnit några spår av att utredningsdata kunnat nås eller att spårbarhetsdata manipulerats.

Det är kundlistan som är den verkliga nyheten. Chainalysis är den dominerande leverantören av kedjeanalystjänster till myndigheter och börser världen över; när polisen spårar en plånbok, när en tillsynsmyndighet tillskriver ett hack en gärningsman, när en börs granskar en insättning, går underliggande information ofta genom detta enda företag. Ett genombrott i dess försvarslinje är inte ett intrång hos ett enskilt bolag – det är ett intrång i varje utredning firman rör vid, och i förlängningen en karta över vilka myndigheter som bevakar vilka adresser.

Här finns en beläggning som svenska läsare bör notera: den amerikanska säkerhetsstaten har byggt upp ett privat Überwachningsmonopol med skattemedel, och monopolets hjärna visar sig vara lika sårbar som vilken IT-avdelning som helst. Myndigheter som FBI och flygvapnet betalar premiumpriser för övervakning av andras transaktioner – men ingen tvingade dem att ställa krav på leverantörens egen säkerhet på samma stränga sätt som en privat aktör med eget kapital på spel hade gjort. Offentlig upphandling belönar sällan försiktighet.

Ars Technica konstaterar att flera frågor förblir obesvarade, bland annat vad attackens "AI-agenter" faktiskt gjorde och hur de arbetade. Chainalysis har avstått från att kommentera utöver sina blogginlägg.

Ett företag som tar betalt för att övervaka alla andras transaktioner upptäckte exponeringen av sina egna kunders inloggningsuppgifter en måndag – och berättade om den först på onsdagen.