Chainalysis beş gün boyunca müşterilerine ihlalin kimlik bilgilerine ulaşmadığını söyledi. Çarşamba gecesi ise hepsine ulaştığını bildirdi.

Blokzincir analiz şirketinin son olay güncellemesi, "Chainalysis kullanıcılarının tamamına ait ad, kullanıcı adı, parola özeti ve aktif token'lar dahil belirli müşteri bilgilerinin kötü niyetli bir aktörün eline geçtiğini" söylüyor. Etkilenmeyen kullanıcı yok ve herkes eninde sonunda parolasını sıfırlayıp API anahtarlarını değiştirmek zorunda — yalnızca şu anda değil.

Bu, 30 Ekim'deki açıklamadan epey uzak. O gün yayımlanan bilgilendirmede şirket, "soruşturma içeriğine, kimlik doğrulama bilgilerine veya oturum token'larına yetkisiz erişim olduğuna dair kanıt bulunmadığını" yazmış; erişilen veriyi sıradan kalemlerle tarif etmişti: kullanıcı kimlikleri, tam adlar, e-posta adresleri, kurum içi rol etiketleri. Gerekçe şuydu: saldırgan ajanlı yapay zekâ teknikleri iç sistemlere ulaşmıştı ama o sistemlerin anahtarlarına değil.

İki açıklama arasında ürün yüzeyi parça parça dağıldı. Pazartesi günü Reactor ve Data Solutions ihtiyat amacıyla kapatıldı; uyum amaçlı işlem izleme ürünleri açık bırakıldı. Çarşamba günü şirket, kullanıcılarla hizmet arasındaki trafiği kesen bir "yol üstü saldırısı" (on-path attack) duyurdu: bir kısım müşterinin parolası açığa çıkmıştı, açık kapatılmış ve etkilenen hesaplar kilitleniyordu. Kırk dakika sonra "anormal aktivite" nedeniyle Know Your Transaction (KYT) arayüzü ve API'si, diğer adres tarama ürünleri ve giriş sayfası devre dışı bırakıldı.

İşin pratik sonucu şu: çare henüz mevcut değil. Şirket, "Chainalysis parolanızı sıfırlamanızı isteyen e-postayı yeni alan müşteriler için bu parolayı şu anda sıfırlamak mümkün olmayacak" diyor ve başka sistemlerde yeniden kullandığınız kimlik bilgilerini değiştirmenizi öneriyor. Erişim, güvenilir IP adreslerinin beyaz listeye eklenmesiyle başlayacak; ardından parola sıfırlama ve API anahtarı yenileme gelecek. Reactor, Data Solutions ve Chain (Beta) için açıklanmış bir dönüş tarihi yok.

Bu sıradan bir SaaS kesintisi değil. Chainalysis; kolluk birimleri, borsalar, düzenleyiciler ve ulusal güvenlik kurumları dahil 1.500'den fazla müşteriye satış yapıyor ve KYT, uyum ekiplerinin kara para aklama taraması için kullandığı işlem izleme katmanı. Şirketin ayakta kaldığını söylediği şey dar: "soruşturma verilerine erişildiğine veya Chainalysis atıf verilerinin manipüle edildiğine dair kanıt yok." Grafikler, notlar ve dosyalar sağlam deniyor.

Yanıtsız kalan birkaç şey var. Parolaların hangi algoritmayla özetlendiği açıklanmadı; bu yüzden özetlerin ne kadar kırılabilir olduğu bilinmiyor. "Aktif token'lar" tanımlanmadı — bu önemli, çünkü geçerli bir token parola olmadan kimlik doğrulaması yapar. Yol üstü parola ele geçirme, özet ve token sızıntısı ile bazı KYT hesaplarına erişim girişiminin aynı aktöre mi yoksa aynı yönteme mi ait olduğu söylenmedi. Kullanıcı sayısı da verilmedi.

Arka planda güvenlik firmalarının bir aydır belgelediği ajanlı yapay zekâ dalgası var. Microsoft'un tehdit istihbaratı ekibi, saldırganların açık kaynaklı çok ajanlı sızma testi çerçevesi ARTEX'i kullanarak herkese açık GitHub depolarında açıkta kalmış OAuth sırlarını aradığını, ardından düzinelerce uygulamada ve birden fazla kiracıda hizmet sorumlusu olarak oturum açtığını anlattı. Ajanlar tam olarak daha fazla kimlik bilgisi döndüren işlemleri hedefledi: depolama hesabı anahtarları, App Service ayarları, bağlantı dizeleri, yayınlama kimlik bilgileri, Azure Kubernetes Service kullanıcı kimlik bilgileri ve yapay zekâ servisi API anahtarları. En az bir vakada bir ajan, GitHub taramasından Azure Key Vault'tan sır sızdırmaya beş dakikada geçti; Microsoft faaliyeti Ağustos 2026'dan beri sürüyor olarak değerlendiriyor.

Google ve Mandiant bunu kârlı kılan para katmanını belgeledi. Yer altı piyasasındaki "LLM mixer" hizmetleri, ele geçirilmiş kurumsal model hesaplarına erişimi ödeme yapan müşterilere satıyor; istekleri vekil sunucu üzerinden geçirerek kurbanın bulut faturası büyürken alıcının hiç hesap açmamasını sağlıyor. Wiz, çalınmış iki kurumsal Bedrock anahtarını yaklaşık 800 bin ve 1,7 milyon model çağrısına kadar izledi; bazı kurbanlara hiç istemedikleri çıkarım için yaklaşık bir milyon dolarlık fatura kesildi. Chainalysis'in kendi olay e-postası, "sektör genelinde yapay zekâ kaynaklı siber saldırılarda artışa" yanıt verdiğini söylüyor ve Chainstack, OpenCode, Warp ile WorkOS'u vurulan platformlar arasında sayıyor.

Chainalysis müşterileri için acil adımlar gösterişsiz: başka bir serviste yeniden kullandığınız her parolayı hemen sıfırlayın, çünkü Chainalysis parolası şu an değiştirilemiyor; sunulan her yerde iki adımlı doğrulamayı açın ve giriş adresini kendiniz yazmadan hiçbir parola sıfırlama e-postasına güvenmeyin. Geri kalan herkes için ders envanter: Microsoft'un tarif ettiği zincirin ilk halkası herkese açık bir depoya işlenmiş bir sırdır — yapılması bedava, ajanlı araçlar karşı taraftayken sömürülmesi dakikalar süren bir hata.

Kaynaklar