Eine erste Offenlegung des Vorfalls hatte es am 30. Oktober gegeben; damals erklärte Chainalysis noch, es gebe keine Hinweise auf einen Zugriff auf Authentifizierungsdaten oder Sitzungstokens. Der Urheber des Angriffs wurde nicht benannt. Zuvor hatte das Unternehmen erklärt, es habe „einen externen Akteur entdeckt, der offensive agentische Techniken einsetzte, um unbefugten Zugang zu Chainalysis-Systemen und internen Werkzeugen zu erlangen“. Was mit „offensiven agentischen Techniken“ gemeint ist, erläuterte das Unternehmen nicht. Kunden gegenüber hatte Chainalysis den Vorfall zunächst in den Zusammenhang mit einem „branchenweiten Anstieg KI-gesteuerter Cyberangriffe“ gestellt, ohne jedoch ausdrücklich zu sagen, der eigene Einbruch sei durch einen KI-Agenten verursacht worden.
Zur Untersuchung und zur Härtung der Abwehr habe man „erstklassige externe Cybersicherheitsexperten“ hinzugezogen, so das Unternehmen. Die Mitteilung lässt offen, ob jede Datenkategorie für jeden Nutzer betroffen ist, und nennt auch keine Nutzerzahl. „Zum jetzigen Zeitpunkt haben wir weiterhin keine Hinweise darauf, dass auf Ermittlungsdaten zugegriffen oder Chainalysis-Attributionsdaten manipuliert wurden“, hieß es am Mittwochabend.
Alle Nutzer müssen ihre Passwörter zurücksetzen und API-Schlüssel gegebenenfalls austauschen. Betroffene Kunden sollen die Login-Seite direkt aufrufen, statt Links in Passwort-Zurücksetzungs-E-Mails zu folgen. Offen blieb, was unter „aktiven Tokens“ zu verstehen ist und mit welchem Verfahren die Passwörter gehasht wurden. Bestimmte Hash-Verfahren lassen sich knacken, um das ursprüngliche Passwort zu rekonstruieren; gültige Authentifizierungstokens können Angreifern den Kontozugriff auch ohne Passwort ermöglichen.
Zusätzlich teilte das Unternehmen mit, dass offenbar auf Konten einiger Kunden im Dienst Know Your Transaction (KYT) zugegriffen wurde, mit dem Kryptotransaktionen auf verdächtige Aktivitäten überwacht werden. Der Verdacht wurde bekannt, während sich die Störungen der Dienste ausweiteten.
Einige Kundenpasswörter wurden laut Chainalysis bei einem „On-Path-Angriff“ offengelegt, bei dem ein Angreifer die Kommunikation zwischen Nutzern und Dienst abfängt. Eine E-Mail an betroffene Kunden sprach von einem „andauernden mehrfrontigen Cyberangriff“, ohne die weiteren Fronten zu benennen. Die Abfangmethode sei eingedämmt und behoben, betroffene Konten würden gesperrt, Hinweise auf unbefugte Zugriffe gebe es nicht.
Vierzig Minuten später erklärte Chainalysis, „ungewöhnliche Aktivität“ habe dazu geführt, dass Benutzeroberfläche und API von KYT, weitere Produkte zur Adressprüfung sowie die Login-Seite abgeschaltet wurden. Kunden, die gerade zum Zurücksetzen ihrer Passwörter aufgefordert worden waren, erfuhren, dass dies vorerst nicht möglich sei.
Die Abschaltung weitete Einschränkungen aus, die das Unternehmen am Montag verhängt hatte: Damals nahm es das Ermittlungswerkzeug Reactor und das Produkt Data Solutions vorsorglich vom Netz, hielt die Compliance-Produkte zur Transaktionsüberwachung aber in Betrieb. Chainalysis bezeichnet diese Produkte als wichtig für die Erkennung von Geldwäsche im Kryptoökosystem.
KYT und Address Screening sollten ab Donnerstag wieder hochgefahren werden, nachdem Kunden vertrauenswürdige IP-Adressen für eine Positivliste eingereicht haben; danach sollen Passwörter zurückgesetzt und API-Schlüssel getauscht werden können. Für die Wiederherstellung von Reactor, Data Solutions und des Produkts Chain (Beta) nannte das Unternehmen keinen Termin und erklärte auch nicht, wie Kunden während der KYT-Abschaltung Transaktionen prüfen. Ebenso offen blieb, ob das Abfangen der Passwörter, die Offenlegung von Hashes und Tokens sowie die vermuteten unbefugten Kontozugriffe auf denselben Angreifer oder dieselben Methoden zurückgehen. Ein Sprecher erklärte, man könne über die Angaben im Blog hinaus keine weiteren Informationen mitteilen.