Laut Chainstack drang ein Angreifer mit einem KI-Agenten-Framework über ein Test-Dashboard mit Standard-Login ein und legte Passwort-Hashes von Kunden offen

Ein Test-Dashboard mit unverändertem Standard-Login öffnete die Tür. Chainstack, das Blockchain-Knoten und APIs für Entwickler betreibt, erklärt, ein Angreifer sei im vergangenen Monat fast fünf Tage lang in seinen Systemen gewesen, bevor er entdeckt wurde. Laut dem Vorfallbericht des Unternehmens, den es am 10. und 11. November aktualisierte, gelangte der Eindringling auch an Kontodaten von Kunden. The Block berichtete am Donnerstag über die Ergebnisse.

Einfallstor war eine Grafana-Monitoring-Instanz in einem Entwicklungscluster, die aus dem Internet erreichbar war, durch kein Single Sign-on geschützt war und noch die Standard-Administrator-Zugangsdaten verwendete. Von dort erreichte der Angreifer einen internen Tool-Server mit weitreichenden Berechtigungen und stahl Maschinen-Zugangsdaten, die auch in der Produktionsumgebung funktionierten. Chainstack fand nach eigenen Angaben keine Hinweise darauf, dass eine Software-Schwachstelle ausgenutzt wurde. Der Angreifer drang am 26. Oktober ein, erreichte am 29. Oktober die Produktionsumgebung und wurde am 31. Oktober entdeckt, als ein kompromittierter VPN-Schlüssel die Datenbankreplikation störte. Einige kopierte Zugangsdaten funktionierten weiter, bis sie erneuert wurden; die letzte beobachtete Nutzung war am 2. November.

Zu den offengelegten Daten gehören Organisationsnamen, Namen von Kontoinhabern, E-Mail-Adressen von Mitgliedern und Passwort-Hashes. Chainstack fand keine Anzeichen dafür, dass Node-Zugangsdaten ausgelesen wurden, behandelt sie aber als offengelegt und bittet Kunden, sie zu erneuern, Passwörter zu ändern und Plattform-API-Schlüssel neu zu generieren. Das Unternehmen erklärt: „Kunden-Nodes, die Konsole und die API wurden nicht verändert.“ Chainstack hat nicht mitgeteilt, wie viele Kunden betroffen sind, und benachrichtigt alle Kunden per E-Mail. Es geht mit hoher Sicherheit davon aus, dass der Angreifer ARTEX nutzte, ein Werkzeug, das öffentliche Berichte mit mehreren voneinander unabhängigen Gruppen in Verbindung gebracht haben, und nennt den Angreifer daher nicht.