要点
- 暗号資産の取引を追跡する Chainalysis が、全利用者の名前・ユーザー名・パスワードのハッシュ・有効なトークンが外に出たと認めた。
- 10月30日の最初の発表では「認証情報やセッショントークンへのアクセスの証拠はない」としていた。その後、説明が大きく変わった。
- 利用者は、パスワードの変更と API キー（システム同士をつなぐ合言葉）の入れ替えを求められている。
何が起きたか
Chainalysis は、銀行や暗号資産の取引所、捜査機関が、不審な送金を調べるために使う会社だ。同社のインシデント告知ページによると、外部の攻撃者が「offensive agentic techniques」（AI エージェントを攻撃に使う手法）で同社のシステムと社内ツールに入り込んだ。具体的な手口は説明されていない。
告知の流れは次のとおり。時刻は同社の表記（米国東部時間）。
- 10月30日: 最初の告知。名前、メールアドレス、組織内の役割など「機微でない」情報が見られたとした。調査内容や認証情報への侵害の証拠は「ない」と説明した。
- 11月2日: Reactor と Data Solutions を、念のため停止した。
- 11月4日 午前9時50分: 通信の途中を狙う「on-path attack」で、一部の顧客のパスワードが漏れたと認めた。該当アカウントはロックされた。
- 11月4日 午前10時30分: 異常な動きを受け、KYT（取引の監視）、アドレス照合の製品、ログイン画面を止めた。
- 11月4日 午後11時: 全利用者の名前、ユーザー名、パスワードのハッシュ、有効なトークンが流出したと説明した。一部の顧客では KYT に不正に入られたとして、個別に連絡している。
- 11月6日: KYT とアドレス照合の復旧を段階的に始めた。Reactor と Data Solutions は止まったままだ。
同社は、調査データ（グラフ、メモ、案件）に触れられた証拠も、追跡データが改ざんされた証拠もないとしている。ただし、10月30日の説明と後の説明が食い違う理由は、告知では示されていない。ハッシュの方式や、どの種類のトークンかも書かれていない。
日本の利用者への影響
今回確かめた資料には、日本の組織への影響についての記述は無い。日本の取引所や捜査関係者がこの製品を使っているかどうかも、これらの資料からは分からない。使っている組織は、自分が対象の「全利用者」に入ると考えて動くのが安全だ。
取引所にとって KYT などは、不審な送金を見つける法令対応の道具でもある。止まる間の代わりの確認方法は、各組織で決める必要がある。
今すぐやること
- Chainalysis の製品を使っているか、社内で確認する。契約している部署が分からない場合は、取引監視やコンプライアンスの担当に聞く。
- 復旧には、信頼できる IP アドレスの届け出が要る。同社は、担当窓口か営業担当に連絡するよう案内している。
- アクセスが戻ったら、パスワードを変え、API キーを入れ替える。同社は全利用者に求めている。
- 同じパスワードを他のサービスで使っていたら、そちらも変える。多要素認証（パスワードのほかにスマホなどでも本人確認する仕組み）もまだなら有効にする。
- 偽のメールに注意する。同社は、メール内のリンクではなく、ログイン画面から直接手続きするよう勧めている。覚えのない再設定の通知や承認の要求も、情報システム担当に知らせる。
背景
捜査や取引の審査に使う会社は、顧客の調査対象や取引の情報を持つため、攻撃者に狙われやすい。今回、同社は AI の悪用が業界全体で増えているとも述べている。ただし、今回の攻撃で AI がどこまで使われたかは、同社の説明だけで、外からは確かめられていない。
同社は、これは Binance での最近の暗号資産盗難とは無関係だと述べている。
技術者向けの詳細
- 一次情報: Chainalysis の告知ページ（11月6日更新）。報道では Ars Technica が取り上げている。
- 流出が認められた項目: 名前、ユーザー名、パスワードのハッシュ、有効なトークン（全利用者）。
- 初期の説明: ユーザー ID、氏名、メールアドレス、組織内の役割ラベル。
- 同社は平文のパスワード、MFA の秘密情報、調査内容へのアクセスの証拠はないとしている（この時点の説明）。
- 確認が必要な点: 既存のセッションが無効にされたか。ハッシュの方式。トークンの種類。
- 自組織では、Chainalysis の API キーを使う連携（取引登録など）を洗い出し、入れ替え後に古いキーで呼び出しがないか、ログで見るとよい。
- 法執行機関への届け出の有無は、告知に記載がない。
