פריצת Chainalysis: תוקף בטכניקות אגנטיות חשף שמות ומיילים של לקוחות, והפורצים של בייננס עוקפים הקפאות דרך טרון
Chainalysis מדווחת שתוקף בטכניקות אגנטיות הגיע לשמות, מיילים ותוויות תפקיד של לקוחות. לפי The Block, החברה מדווחת גם שהפורצים של בייננס משתמשים בפרוטוקול בטרון כדי לחמוק מהקפאות של סטייבלקוינים.
תוקף שהשתמש במה ש־Chainalysis מכנה "טכניקות אגנטיות התקפיות" (offensive agentic techniques) השיג גישה לשמות של לקוחות החברה, לכתובות המייל שלהם, למזהי משתמש ולתוויות שמגדירות את תפקידם בתוך הארגון. כך מסרה חברת ניתוח הבלוקצ'יין. המונח "אגנטי" מתייחס בדרך כלל לסוכני בינה מלאכותית שמבצעים רצף פעולות בעצמם, אבל החברה לא הסבירה איך בדיוק נעשה שימוש ב־AI בפריצה.
בהודעה מ־30 באוקטובר כתבה החברה שזיהתה במהלך החודש גורם חיצוני שהשיג גישה לא מורשית למערכות ולכלים פנימיים. היא עדיין בודקת אילו רשומות נחשפו אצל כל ארגון לקוח, והבטיחה פירוט נפרד לכל אחד כשהעבודה תסתיים. ההודעה לא כוללת את מספר הרשומות שנפגעו, לא מזהה את התוקף ולא מפרטת אילו פרצות נוצלו. מי שקרא את הכתבה הקודמת שלנו על אירוע הסייבר ב־Chainalysis מקבל עכשיו תמונה מפורטת יותר של היקף הדליפה, אבל עדיין חלקית.
מה נחשף, ומה לפי החברה נשאר מחוץ להישג יד
הרשימה שפרסמה Chainalysis מתארת קטגוריות של מידע, ולא קובעת שכל שדה נחשף אצל כל משתמש. כך נראית החלוקה לפי ממצאי החברה עד כה:
| סוג המידע | סטטוס לפי Chainalysis |
|---|---|
| שמות לקוחות | בין הקטגוריות שנחשפו |
| כתובות מייל | בין הקטגוריות שנחשפו |
| מזהי משתמש | בין הקטגוריות שנחשפו |
| תוויות תפקיד בארגון | בין הקטגוריות שנחשפו |
| תוכן חקירות (גרפים, הערות, תיקים) | אין עדות לגישה |
| תוצאות של עסקאות ושאילתות | אין עדות לגישה |
| סיסמאות בטקסט גלוי | אין עדות לגישה |
| סודות של אימות רב שלבי | אין עדות לגישה |
| אסימוני התחברות (session tokens) | אין עדות לגישה |
החברה מדגישה שהממצאים זמניים ושהחקירה ממשיכה. היא הודיעה לכל הלקוחות, שכרה מומחי סייבר חיצוניים, ומסרה שהיא חוקרת את הפעילות הלא מורשית, סוגרת פרצות ומקשיחה את המערכות.
למה רשימת שמות ותפקידים שווה לתוקף הרבה
על הנייר, שם ומייל נשמעים כמו מידע זניח לעומת סיסמאות. בפועל, השילוב עם תווית תפקיד יכול לשמש כרשימת יעדים: התוקף יודע מה התפקיד של כל אדם בארגון, ויכול לנסח אליו הודעה שנראית כמו בקשה שגרתית לאיפוס סיסמה. מסגרת MITRE ATT&CK, שמשמשת את תעשיית הסייבר למיפוי שיטות תקיפה, מונה שמות וכתובות מייל בין הפרטים שתוקפים אוספים לצורך סימון מטרות, מה שעלול לסייע בהתקפות פישינג או בניסיונות להשתלט על חשבונות.
לכן Chainalysis ממליצה בחום לארגונים שעוד לא הפעילו אימות דו שלבי לעשות זאת, בעזרת מנהלי הלקוח שלהם, ולהתייחס בחשדנות לכל בקשת איפוס סיסמה או בקשת אימות שלא יזמו. בהנחיות נפרדות על התחזות היא מזהירה מאתרים שמחקים את שלה, ממיתוג מועתק ומכתובות מייל לא מורשות, וממליצה לאמת כל פנייה דרך הערוצים הרשמיים. נציבות הסחר הפדרלית בארה"ב (FTC) ממליצה, כשמגיעה הודעה חשודה, לפנות לחברה רק דרך מספר טלפון או אתר שאתם כבר יודעים שהם אמיתיים.
הפורצים של בייננס וההקפאות של הסטייבלקוינים
לפי Chainalysis, הפריצה אליה אינה קשורה לגניבה האחרונה מבייננס. במקביל, החברה עוקבת אחרי הכספים שנגנבו מהבורסה. The Block מתאר את הפריצה כגניבה בהיקף של מיליארדי דולרים, ולפי CryptoSlate מדובר בכ־6.3 מיליארד דולר, כשהפורצים מפעילים שיטות הלבנה שלא נראו קודם. לפי The Block, Chainalysis מדווחת שהתוקפים משתמשים בפרוטוקול ברשת טרון כדי להתחמק מהקפאות של סטייבלקוינים.
המנפיקות של מטבעות יציבים כמו USDT ו־USDC יכולות להקפיא יתרות בכתובות מסוימות, וזה אחד הכלים שנשארים בידי הבורסות והרשויות אחרי פריצה. תוקף שמצליח להזיז את הערך לפני שהכתובת נחסמת מנטרל את הכלי הזה. המקורות לא מפרטים באיזה פרוטוקול מדובר ואיך בדיוק הוא משמש, ולכן קשה כרגע להעריך כמה כסף כבר יצא מטווח ההקפאה. רקע נוסף על החקירה תמצאו בכתבה הקודמת שלנו על הפריצה לבייננס.
ציר הזמן עד כה
- אוקטובר 2026: Chainalysis מזהה גורם חיצוני עם גישה לא מורשית למערכות ולכלים פנימיים.
- 30 באוקטובר: הודעה רשמית של החברה על הפריצה וסוגי המידע שנחשפו.
- 31 באוקטובר: The Block ו־CryptoSlate מדווחים על פרטי הדליפה, ו־The Block מדווח על שימוש הפורצים של בייננס בפרוטוקול בטרון.
- בהמשך: פירוט רשומות נפרד לכל ארגון לקוח, לפי הבטחת החברה.
צעדים למחזיקי קריפטו בישראל אחרי הדליפה
גם אם אתם לא לקוחות של Chainalysis, ייתכן שהבורסה שבה אתם סוחרים נעזרת בשירותיה. דליפה של שמות ותפקידים של עובדים בארגונים לקוחות פותחת פתח להודעות מזויפות בשם הבורסה או בשם "מחלקת הציות" שלה, למשל דרישה לאמת ארנק או לאשר משיכה. אל תלחצו על קישור שמגיע במייל כזה. הקלידו את כתובת האתר בעצמכם, או פנו בטלפון שמופיע באתר הרשמי.
אם עדיין לא הפעלתם אימות דו שלבי באפליקציה ייעודית בכל חשבון מסחר, כדאי לעשות זאת עכשיו. בקשת איפוס סיסמה שלא ביקשתם היא סימן לבדוק מיד את החשבון ולשנות סיסמה דרך האתר הרשמי.
מי שמחזיק סטייבלקוינים צריך להביא בחשבון שההקפאה שמגינה על נפגעי פריצות יכולה לפגוע גם במי שקיבל כסף מכתובת מסומנת. לכך מצטרפת המציאות המקומית: בנקים בישראל נוטים לעכב העברות שמגיעות מבורסות זרות ולדרוש תיעוד על מקור הכספים, ועד 1 במאי 2027 עדיין חלה חובת בדיקת מקור ומסלול המטבעות מעל 100 אלף שקל בשנה (פרטים על השינוי בהוראה 411). שמרו צילומי מסך של עסקאות, דוחות מהבורסה ומזהי העברות, כדי שתוכלו להראות מאיפה הגיע הכסף אם תידרשו. רשימת בדיקה מסודרת להגנה על החשבונות תמצאו במדריך האבטחה שלנו.
אהבתם את הכתבה? שתפו אותה
שלחו לחבר שמתעניין בקריפטו, בקבוצת הוואטסאפ או בטלגרם.
