ブロックチェーン分析大手のチェイナリシス（Chainalysis）は、全ユーザーのパスワードハッシュやライブトークンが攻撃者に露出していたことを公表しました。同社は当初、機密性のない一部顧客データへの不正アクセスとしていましたが、その後の調査で被害範囲を修正し、主力の調査ツールに加えて取引監視ツール「KYT」などの稼働を停止しています。KYTは暗号資産取引所などのマネーロンダリング対策（AML）業務に直結しているため、暗号資産業界のコンプライアンス運用に直接的な影響が及んでいます。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
被害範囲の修正と全ユーザーの認証情報露出
チェイナリシスは米東部時間4日深夜、全ユーザーの氏名、ユーザー名、パスワードハッシュ、ライブトークン（ログイン状態を保つための有効な認証トークン）が攻撃者に露出していたと公式ブログで公表しました。同社がこの露出を把握したのは2日と説明されています。
同社は10月30日の初報において、外部攻撃者がエージェント型の手法を用いてシステムや社内ツールに不正アクセスしたものの、対象はユーザーIDや氏名などの機密性のない一部の顧客データに留まり、認証情報や調査内容へのアクセス兆候はないとしていました。しかし4日の更新で、全ユーザー分のパスワードハッシュ（元のパスワードを直接復元できない形に変換した値）と有効なトークンが露出していたことが明らかになりました。さらに4日朝の更新では、オンパス攻撃と呼ばれる手口によって一部顧客のパスワードそのものが露出したことも報告されており、該当アカウントのロックと攻撃経路の封じ込めを実施した上で、パスワードを使い回している他サービスでの変更も呼びかけています。
なお、同社は現時点で、調査データへのアクセスや、アドレスの持ち主を特定するアトリビューションデータ（帰属データ）が改ざんされた証拠は確認されていないとしています。
取引監視ツールKYTの停止とAML業務への影響
今回のインシデントを受けて、チェイナリシスが提供する複数の主要製品が停止しています。同社は2日、主力調査ツール「Reactor」とデータ製品「Data Solutions」を予防的に停止しました。取引監視製品については、顧客のマネーロンダリング検知に不可欠であることから監視を強化しながら稼働を継続していましたが、4日に異常な活動を検知したため、KYT（画面とAPI）、アドレススクリーニング製品、ログインページの停止に踏み切りました。
KYT（Know Your Transaction）は、暗号資産の送受金をリアルタイムで監視し、不正資金との関連をリスクとして判定するツールで、取引所などがマネーロンダリング対策（AML）に利用しています。KYTアカウントへの不正アクセスが疑われる顧客には個別通知が行われています。
この停止事態に伴い、英エリプティック（Elliptic）が予備の監視手段として利用できる「Fast track monitoring」を提供するなど、他社ツールによる代替の動きも生じています。
システム復旧の手順と顧客に求められる対応
チェイナリシスは、米東部時間5日よりKYTおよびアドレススクリーニングの復旧を開始する方針を示しています。復旧の手順として、顧客が事前に信頼できるIPアドレスを同社に伝えて許可リストに登録し、その上でパスワードの再設定とAPIキーの更新を行うことが求められています。
また、停止が続いているReactorとData Solutionsについても、システムの強化作業を行いながら再開を目指すとしています。これらの再開時にも全ユーザーに対するパスワードの再設定と、必要に応じたAPIキーの更新が求められる予定です。なお、日本時間6日時点では米東部時間4日午後11時のブログ更新が最新となっており、KYTの復旧開始を伝える追加の公式発表は記載されていません。
ポイント
- 当初は機密性のないデータへの不正アクセスと発表されていたものの、全ユーザーのパスワードハッシュやライブトークンが露出していたと修正された点で、セキュリティ上の影響範囲が極めて大きいと見られます。
- オンパス攻撃により一部顧客のパスワードそのものが露出したことが判明しており、他のサービスへの二次被害を防ぐための迅速な認証情報変更が求められている点で注目されます。
- 取引所などのコンプライアンス順守に欠かせないKYTやアドレススクリーニングが停止したことで、暗号資産業界のリアルタイムなAML監視体制に直接の支障が生じている点で重要視されます。
- システムの復旧には許可IPアドレスの事前登録、パスワード再設定、APIキー更新といった厳格な手続きが必要とされており、利用企業側の運用負荷と迅速な対応が問われる点で注目されます。
総研プライム
ブロックチェーンを、
徹底的に読み解く。
技術の仕組み、企業の戦略、市場の構造まで。独自の調査・分析で掘り下げる専門レポート。
初月無料で読む