Chainalysis、全利用者のトークン流出 第一報から範囲が拡大

何が起きたのか

暗号資産の取引の調査や監視のサービスを提供するChainalysisは2026年10月30日、セキュリティ事故を公表しました。外部の攻撃者が攻撃用のAIエージェントの手法で社内のシステムとツールに入ったとしており、Binanceの暗号資産の窃取とは無関係と説明しています。

第一報では、調査データ、認証情報、セッショントークンへの不正アクセスの証拠はないとしていましたが、その後、範囲が広がりました。

• 11月2日：ReactorとData Solutionsを予防のため停止。取引監視のKYTは動かしたまま、異常な動きを監視
• 11月4日：一部の顧客のパスワードが、通信の途中に入り込む攻撃（オンパス攻撃）で漏れたと公表。対象の利用者にはメールで知らせ、パスワードを再設定するまでアカウントをロック
• 11月4日：異常な動きを受けて、KYT、アドレス確認の製品、ログイン画面も停止。パスワードの再設定も一時できない状態に
• 11月4日：全利用者の情報が漏れていたと公表

漏れた情報

第一報で挙げていたのは、利用者ID、氏名、メールアドレス、組織内の役割です。第一報では、これらを機密性の低い情報として扱っていました。

11月4日の発表では、全利用者の氏名、利用者名、パスワードのハッシュ、有効なトークンが外部の攻撃者に見られたとしています。人数は公表されていません。

• パスワードのハッシュ：パスワードを一定の計算で変換した値です。元に戻しにくい形ですが、単純なパスワードは推測で当てられることがあります
• 有効なトークン：ログインしている状態を示す情報です。使われると、パスワードを入れなくても、その利用者としてサービスを使われるおそれがあります

KYTのアカウントに不正なアクセスの疑いがある顧客には、直接連絡しています。調査データ（グラフ、メモ、案件など）が見られた証拠や、同社の帰属データ（アドレスの持ち主の情報）が書き換えられた証拠はないとしています。

第一報と後の発表では、同じ事柄の書き方が変わっています。

項目	10月30日の第一報	11月4日以降
認証情報	不正アクセスの証拠はない	全利用者のパスワードのハッシュと有効なトークンが見られた
パスワード	平文のパスワードへのアクセスの証拠はない	一部の顧客のパスワードがオンパス攻撃で漏れた
事故の呼び方	過去のサイバー事故	続いているサイバー攻撃

会社の対応

11月6日から、KYTとアドレス確認のサービスを段階的に再開しています。ReactorとData Solutionsは止まったままで、外部の専門家と環境の強化を進めています。

顧客には、次のことを求めています。

• 接続を許すIPアドレスを、サポートか担当者に届け出る
• 全利用者がパスワードを再設定する。メール内のリンクではなく、公式のログイン画面から行う
• APIキーを使っていれば、取引を登録する前に替える
• ほかのサービスで同じパスワードを使っていれば、そちらも変える
• 二要素認証をオンにする（10月30日の通知で推奨）
• 身に覚えのないパスワード再設定の依頼や認証の画面が出たら、社内の担当者に報告する

日本の会社に関係すること

この件では、第一報の「証拠はない」が5日後に変わりました。取引先の第一報だけで判断せず、続報を追う担当者と、いつまで追うかを決めておきます。自社が事故を公表するときも、確認できた範囲と調べている範囲を分けて書けます。

外部サービスの事故でパスワードとAPIキーを全員分替えることになった場合、次の準備が時間を決めます。

• 外部サービスのAPIキーを、どのシステムのどの設定で使っているかの一覧
• 同じパスワードを複数のサービスで使っていないかの点検。使い回しがあると、ハッシュが破られたときに他のサービスにも影響します
• 接続元のIPアドレスを制限できるサービスでは、許可するIPアドレスの一覧