Chainalysis: Externer Akteur drang mit „offensiven agentischen Techniken“ in interne Tools ein

Chainalysis hat den Vorfall am 30. Oktober in einer Kundenmitteilung und in einem Blogbeitrag mit dem Titel „Chainalysis Security Incident Information“ bekannt gegeben. Ein externer Akteur habe im Oktober mit „offensiven agentischen Techniken“ unberechtigten Zugriff auf Systeme und interne Tools des Unternehmens erlangt, heißt es dort. Der Akteur griff auf Nutzer-IDs, vollständige Namen, E-Mail-Adressen und Rollenbezeichnungen der Organisationen bei den auf der Plattform angelegten Nutzern zu. Chainalysis bezeichnet die Datensätze als nicht sensible Kundendaten.

Was abgegriffen wurde

Chainalysis verkauft an mehr als 1.500 Kunden, darunter Strafverfolgungsbehörden, Steuerverwaltungen, Banken, Aufsichtsbehörden und Krypto-Börsen. Nach eigenen Angaben liefert das Unternehmen Daten, Software und Analysen an Organisationen in mehr als 70 Ländern. Ein verifizierter Name, eine geschäftliche E-Mail-Adresse und eine Rollenbezeichnung reichen aus, damit ein Angreifer eine Phishing-Nachricht auf einen Ermittler oder einen Compliance-Beauftragten einer namentlich bekannten Behörde oder Bank zuschneiden kann.

Wie viele Nutzer oder Organisationen betroffen sind, hat das Unternehmen nicht gesagt. Es hat den Angreifer nicht benannt, die ausgenutzten Schwachstellen nicht offengelegt und nicht mitgeteilt, wie lange der Eindringling Zugriff hatte. Öffentliche Hinweise auf eine bereits laufende Phishing-Kampagne mit diesen Daten gibt es bislang nicht.

Was laut Chainalysis nicht entwendet wurde

Chainalysis fand nach eigenen Angaben keine Hinweise darauf, dass Inhalte von Ermittlungen abgerufen wurden. Das betrifft Graphen, Notizen und Fälle. Gleiches gilt laut Unternehmen für Transaktions- und Abfrageergebnisse, Klartextpasswörter, Geheimnisse der Mehrfaktor-Authentifizierung und Sitzungstoken. Diese Ergebnisse seien vorläufig, solange die Untersuchung läuft.

Chainalysis ermittelt noch, welche Datensätze bei welchem Kunden abgerufen wurden. Sobald diese Auswertung abgeschlossen ist, will das Unternehmen den Organisationen ihre jeweilige Aufschlüsselung schicken.

Der agentische Aspekt

Technische Einzelheiten zum Eindringen hat Chainalysis nicht genannt. Offen bleibt, welche Schwachstellen ausgenutzt und welche internen Tools erreicht wurden und wie lange der Angreifer Zugriff hatte. BleepingComputer berichtet, es sei unklar, ob der Angreifer ein bestehendes agentisches Framework wie ARTEX oder eigens gebaute KI-Agenten verwendete.

Der Begriff agentisch beschreibt KI-Systeme, die mehrstufige Aufgaben mit begrenzter menschlicher Beteiligung ausführen können. Angreifer können damit Teile eines Eindringens automatisieren, statt von Hand zu arbeiten. Chainalysis beobachtet nach eigenen Angaben einen branchenweiten Anstieg KI-getriebener Cyberangriffe und erklärt, in den vergangenen Wochen ähnlich wie viele andere Tech-Plattformen ins Visier geraten zu sein.

Wie es weitergeht

Die Teams von Chainalysis arbeiten nach Unternehmensangaben rund um die Uhr an der Untersuchung, am Schließen von Schwachstellen und an der Härtung der Systeme. Das Unternehmen hat externe Cybersicherheitsspezialisten hinzugezogen und setzt große Sprachmodelle ein, um eine breitere Sicherheitsprüfung zu unterstützen, die über die vom Angreifer ausgenutzten Fehler hinausgeht.

Kunden sollten auf unerwartete Aufforderungen zum Zurücksetzen von Passwörtern und auf Authentifizierungsabfragen achten, rät das Unternehmen. Wo die Zwei-Faktor-Authentifizierung aus ist, sollte sie eingeschaltet werden. Chainalysis warnt zudem vor Betrügern, die sich als das Unternehmen ausgeben, besonders vor Angeboten zur Rückholung von Guthaben oder zur Personalvermittlung. Hilfe erhalten Kunden über ihre Chainalysis-Account-Manager.

Einen Termin für die kundenweise Prüfung hat Chainalysis nicht genannt. Auch der endgültige Umfang des Vorfalls ist offen.