Chainalysis ihlası tüm kullanıcıların kimlik bilgilerini ve geçerli token'larını açığa çıkardı; temel ürünler çevrimdışı alındı

Ne oldu

Blokzincir analitiği şirketi Chainalysis, 6 Kasım 2026 tarihinde açıkladığı bir agentic siber saldırının, kullanıcılarının yalnızca bir bölümünün değil, tamamının adlarını, kullanıcı adlarını, parola özetlerini ve geçerli token'larını açığa çıkardığını duyurdu. Söz konusu açıklamayı dev.to üzerinde özetleyen ve The Hacker News'in haberlerine dayanan RedEye Threat Intelligence'ın aktardığına göre şirket, ürün gamının büyük bölümünü kapatarak yanıt verdi: Reactor, Data Solutions, Know Your Transaction (KYT) arayüzü ve API'si, adres tarama ürünleri ve giriş sayfasının kendisi.

İşlem tarama iş akışları KYT API üzerinden yürüyen müşteriler için bu, soyut bir veri ifşası değil, planlanmamış bir kesinti. Her hesap artık parola sıfırlama ve API anahtarı rotasyonu gerektiriyor.

Kapsam bir haftadan kısa sürede nasıl büyüdü

Açıklama, keskin bir genişlemeye işaret ediyor. Bir haftadan kısa süre önce Chainalysis, harici bir aktörün sistemlerine ve iç araçlarına yetkisiz erişim sağlamak için yapay zeka ajanı temelli saldırı teknikleri kullandığını söylemiş, ardından saldırının müşteri parolalarının bir bölümünü açığa çıkaran bir on-path bileşeni de dahil olmak üzere birden fazla cephede geliştiğini duyurmuşttu. Şirket, bu vektörün kapatıldığını, etkilenen hesapların kilitlendiğini ve izlemenin eklendiğini belirtiyor.

Son güncelleme, ifşanın kapsamını parolaların bir bölümünden tüm kullanıcılara genişletiyor ve listeye geçerli token'ları ekliyor. Chainalysis net bir çizgi çekti: Soruşturma verilerine erişildiğine veya atıf verilerinin manipüle edildiğine dair bir kanıt olmadığını söylüyor. Değerini atıf üzerine inşa etmiş bir firma için, müşterilerin ilk okuyacağı cümle bu.

Geçerli token'lar neden denklemi değiştiriyor

Parola özetlerinin yararlı olabilmesi için önce kırılması gerekir. Geçerli token'ların kırılması gerekmez — geçerli bir token, birinin parolayı hiç bilmeden oturum açmış bir kullanıcı veya entegrasyon gibi davranmasını sağlayabilir. Zorunlu kılınan düzeltmenin her hesap için parola sıfırlamasını API anahtarı rotasyonuyla eşleştirmesinin nedeni bu. Bu arada bazı sürtünmeler yaşanıyor: RedEye'nin aktardığına göre bazı parola sıfırlama e-postaları alıcılara o anda sıfırlama yapılamanın mümkün olmadığını bildirirken, şirket Chainalysis parolasını başka yerlerde de kullanan herkesi değiştirmeye çağırdı.

Kurtarma bir IP allowlist üzerinden yürütülüyor

Geri yükleme kontrollü biçimde yapılıyor. Chainalysis, KYT ve Address Screening'i ilk olarak geri getireceğini, ancak bunu yalnızca destek ekibiyle veya hesap ekibiyle iletişime geçip güvenilir IP adreslerini bir allowlist'e ekleten müşteriler için yapacağını söylüyor. Bunun ardından kullanıcılar, işlemleri kaydetmeye devam edebilmek için parolalarını sıfırlayıp API anahtarlarını döndürebilecek. Reactor ve Data Solutions için henüz bir geri yükleme tarihi yok; şirket, sistemleri sürekli sağlamlaştırdığını ve hesaplara erişim için ek korumalar gerektireceğini belirtiyor.

Daha geniş yapay zeka destekli saldırı dalgasının bir parçası

Chainalysis saldırganın ya da kullanılan araçların adını vermedi, ancak olayı son haftalarda diğer birçok teknoloji platformuna yönelik saldırılara benzetti. Chainstack, OpenCode, Warp ve WorkOS'un tümü yapay zeka destekli saldırılar açıkladı; bazıları ARTEX adlı otonom bir penetrasyon testi aracını içeriyordu; Chainalysis burada ARTEX'in kullanılıp kullanılmadığını söylemedi.\n Microsoft'un ağustos 2026'dan beri sürdüğünü değerlendirdiği daha geniş kampanyaya ilişkin analizinde, ajanların açıkta kalan sırlar için herkese açık GitHub depolarını taradığını, bulduklarını analiz ettiğini ve çok az insan müdahalesiyle izleme saldırıları başlattığını anlatıyor. En az bir vakada bir ajan, GitHub taramasından Azure Key Vault'tan veri sızmaya beş dakikada geçti. Microsoft, ajanın birden fazla kiracıda düzinelerce uygulama genelinde service principal oturum açmaları gerçekleştirdiğini, SharePoint, OneDrive ve posta kutusu öğelerine ulaşmadan önce depolama hesabı anahtarlarını, bağlantı dizelerini, yayınlama kimlik bilgilerini ve AKS kullanıcı kimlik bilgilerini hedeflediğini, oturum açmaların 199.19.77[.]84 ve 199.19.77[.]18 adreslerine izlendiğini söylüyor. Ajanlar yapay zeka hizmeti kimlik bilgilerine karşı tekrarlayan bir ilgi gösterdi ve Google ayrıca çalınan kurumsal model erişimlerini yeniden satan bir suç pazarı bildirdi.

Neden önemli

Üç ders öne çıkıyor. Birincisi, bir tedarikçinin ilk kapsam açıklaması bir taban, bir tavan değil: Chainalysis bir haftadan kısa sürede parolaların bir bölümünden tüm kullanıcıların kimlik bilgileri ve geçerli token'larına geçti; dolayısıyla ilk gün risk kararları büyümeyi varsaymalı. İkincisi, agentic araçlar saldırı zaman çizelgelerini sıkıştırıyor — Microsoft herkese açık sırdan kasa sızmaya beş dakikalık süreyi belgeledi ve günler süreyen yatay hareket üzerine kurulu olay müdahalesi varsayımlarını geçersiz kıldı. Service principal'lar ve OAuth uygulamaları gibi insan olmayan kimlikler artık birincil hedef; bu da makine envanteri envanterini mühendislik biriktirme listesi değil, liderlik risk siciline taşıyor. Üçüncüsü, üçüncü taraf tarama hizmetleri operasyonel bağımlılıklardır: KYT API karanlığa gömüldüğünde müşteriler işlemleri kaydetme yeteneğini kaybetti ve süreklilik planları, kritik bir tedarikçinin kendisini bilinçli olarak kapattığı günü kapsamalı.

Uyarılar sürüyor. Daha geniş yapay zeka destekli kampanyayla bağlantı, Chainalysis'in olayı diğer olaylara kendi benzetmesine dayanıyor ve şirket ne aktörü, ne kullanılan araçları ne de on-path saldırının nasıl konumlandığını açıkladı. Vaat edilen ek hesap korumalarını ve soruşturma ve atıf verilerine dokunulmadığı yönündeki açıklamasında olası bir değişikliği izleyin.