暗号資産分析のChainalysisに不正アクセス、全ユーザーの認証情報が漏えい

全ユーザーのパスワードハッシュと有効なトークンが漏えい

Chainalysisは、ブロックチェーン上で暗号資産の取引を分析する会社です。資金の流れをたどる調査ツールのReactorや、取引をリアルタイムで監視するKYTを提供しています。自社サイトによると顧客は1,500以上で、警察などの捜査機関や金融機関、暗号資産の交換業者が含まれます。

Chainalysisが全ユーザーの認証情報の漏えいに気づいたのは、日本時間11月2日午後〜3日午後（米国時間11月2日の月曜日）です。

漏えいした情報は何か

Chainalysisによると、氏名・ユーザー名・パスワードハッシュ・有効なトークンの4種類が、全ユーザー分攻撃者に漏えいしました。

有効なトークンとは、ログインした状態を維持するための情報を指します。ハッシュの計算方式と、漏えいしたトークンの種類は不明です。Chainalysisは全ユーザーに、パスワード再設定と必要に応じたAPIキーの差し替えを呼びかけています。

調査データの閲覧や帰属データの改ざんの証拠はない

Chainalysisによると、顧客の調査データが閲覧された証拠も、帰属データが改ざんされた証拠も、現時点では見つかっていません。 帰属データとは、暗号資産のアドレスがどの組織や人物のものかを記録したデータです。

Chainalysisは、KYTでアカウントに不正アクセスされたとみられる顧客へ個別に連絡しており、対象のアカウント数は非公表です。

AIエージェントを悪用した攻撃者が社内システムに侵入

攻撃者はユーザーIDやメールアドレスなどの顧客データに加え、通信途中に割り込む攻撃で一部顧客のパスワードも入手しています。 Chainalysisが、外部攻撃者によるAIエージェントを悪用した不正アクセスを検知したのは10月です。攻撃者は社内システムと内部ツールに侵入しました。

アクセスされた顧客データは4種類

攻撃者がアクセスしたのは、ユーザーIDや氏名、メールアドレス、組織内での各ユーザーの役割でした。 攻撃に使われたAIや、突かれた脆弱性の詳細は不明です。

Chainalysisによると、同じ時期に暗号資産交換業者のBinanceで起きた窃取とは別の事件です。

通信への割り込みで一部顧客のパスワードが漏えい

Chainalysisによると、通信途中に割り込む「on-path attack」で、一部顧客のパスワードが漏えいしました。そこでChainalysisは、この攻撃経路を塞ぎ、対象顧客のアカウントをロックしました。

Chainalysisは対象顧客に、パスワード再設定を求めるメールを送付しました。対象顧客は、メールリンクではなく公式のログインページから再設定します。同じパスワードを他サービスで使い回している場合は、そちらも変更が必要になります。

停止した取引監視や調査ツールは日本時間11月8日に再開

Chainalysisは防御策を強化したうえで、日本時間11月8日にReactor・KYT・Address Screeningを再開しました。 日本時間11月2日午後〜3日午後（米国時間11月2日）には、調査ツールのReactorや、脅威情報を提供するData Solutionsなどを停止していました。

日本時間11月5日には、追加した監視の仕組みが不審な挙動を検知したため、取引監視のKYTとログインページも停止しています。

Address Screeningは、ウォレットのリスクを判定するサービスです。KYTとAddress Screeningは、日本時間11月6日の夕方から段階的に再開し始めていました。

サービスの停止と再開（日本時間・Chainalysisの発表より）

日時	停止・再開の対象
11月2日午後〜3日午後	ReactorとData Solutionsなどを停止
11月5日午前0時30分	KYT（画面とAPI）、他のアドレス照合製品、ログインページを停止
11月6日午後5時30分	KYTとAddress Screeningを段階的に再開し始める
11月8日午前3時50分	Reactor、KYT（画面とAPI）、Address Screeningが再開

3つのサービスの顧客には、指定の手順で再接続するよう、メールで個別に連絡しています。

再開後に利用するには何が必要か

KYTも日本時間11月8日に再開しています。ただし、KYTで取引を登録できるのは、信頼できるIPアドレスを許可リストに追加し、パスワードを再設定して、必要に応じてAPIキーを差し替えた後に限られます。 許可リストは、接続してよいIPアドレスを前もって登録しておく方式です。登録するIPアドレスは、サポート窓口か担当チームへ送付します。

パスワード再設定とAPIキーの差し替えは全ユーザーが対象で、再接続の具体的な手順は顧客ごとのメールに記載されています。

侵入経路と攻撃者はまだ公表されていない

Chainalysisによると、調査は現在も継続しています。ただし、侵入経路や攻撃者、Data SolutionsとChain（Beta）の再開時期は、いずれも非公表です。

on-path attackによるパスワードの漏えいと、全ユーザー分のハッシュやトークンの漏えいが同じ経路なのかも不明です。

業務用サービスのユーザーと運営企業が備えること

Chainalysisの件では、全ユーザーのパスワードハッシュに加え、ログインした状態を保つトークンまで攻撃者に漏えいしました。そこで、業務用のクラウドサービスを利用するユーザーは漏えいしたパスワードをすぐ変更し、ログイン機能を持つサービスの運営企業は、トークンや鍵の有効期間とログ監視を見直しておきましょう。

日本でも、IPA（情報処理推進機構）が10月26日に漏えい時の対処をまとめたページを公開しています。11月5日には内閣官房の国家サイバー統括室が、不正アクセスへの対策を事業者向けに公表しました。

ユーザーとして：連絡を受けたらすぐパスワードを変更

IPAによると、IDとパスワードが漏えいした場合、他人にアカウントへ不正ログインされる恐れがあります。そこで、利用中のサービスから漏えいの連絡を受けたら、そのサービスのパスワードを変更し、同じパスワードを設定していた他サービスも変更しておきましょう。

同じパスワードを設定した全サービスで変更

新しいパスワードは長く複雑な文字列にし、サービスごとに別のものを設定しておきましょう。1つのサービスで漏えいしたパスワードを他でも使い回していると、使い回し先のサービスにも不正ログインされます。解読にかかる時間は、桁数と文字の種類によって変わります。

再設定を促すメールリンクは押さない

漏えい後にパスワード再設定のメールが届いても、メールリンクは押さず、ブラウザで公式のログインページにアクセスしてから再設定しましょう。Chainalysisの件では、メールアドレスや氏名も攻撃者に漏えいしています。攻撃者はそれらを使って、本物と見分けにくい再設定メールを作ることができます。ブックマークや公式アプリからアクセスしたログインページなら、メールリンクが偽物でも偽のページへ誘導されません。

多要素認証やパスキーを設定

SMS認証や認証アプリなど、パスワードとは別の要素を求める設定にしておけば、IDとパスワードを盗まれてもログインされにくくなります。パスキーは、パスワードの代わりにスマートフォンやPCの指紋認証や顔認証などでログインする方式です。設定できるサービスでは、どちらかを有効にしておきましょう。

運営企業として：トークンや鍵が盗まれた後の被害を抑える

顧客がログインするサービスを運営する企業は、認証情報が盗まれる前提で、盗まれた後に使える期間と範囲を小さくしておきましょう。 国家サイバー統括室の資料にある対策は、APIキーやトークンの持ち方、ログの監視、管理機能の守り方の3つです。

APIキーやトークンに有効期間を設けて定期的に更新

APIキーやアクセストークンには有効期間を設け、定期的に新しいものへ切り替えておきましょう。権限を必要最小限に限定しておけば、トークンが盗まれても、使える範囲と時間の両方を小さく抑えられます。鍵やトークンはプログラムに直接書かず、シークレットマネージャーのような専用の保管サービスで管理します。

不審な認証や大量のデータ取得をログで監視

認証基盤やAPIゲートウェイの記録を1か所に集め、権限の不正使用や異常な量のデータ取得がないかを確認しましょう。Chainalysisも、追加した監視の仕組みで日本時間11月5日に不審な挙動を検知し、KYTを停止しました。

管理機能はアクセス元制限と多要素認証で保護

管理画面のようにインターネットから接続できる機能は、許可したIPアドレスからだけ接続できる設定にし、パスワードとは別の認証も求めましょう。Chainalysisも再開にあたり、顧客のIPアドレスを許可リストに載せる方式を取っています。使っていない機能は、公開せずに停止しておきます。