Kunden des Blockchain-Analyseunternehmens Chainalysis werden davor gewarnt, auf Imitationsversuche zu achten, nachdem Eindringlinge an Informationen über Plattformnutzer gelangt sind. Bei einem Vorfall, der am Freitag offengelegt und am 31. Oktober von BleepingComputer berichtet wurde, erklärte das Unternehmen, Angreifer seien mit sogenannten „offensiven agentischen Techniken“ in interne Systeme und Tools eingedrungen.
Die abgerufenen Informationen umfassten vollständige Namen, E-Mail-Adressen, Nutzer-IDs und Bezeichnungen, die die organisatorischen Rollen der Nutzer beschreiben. Chainalysis prüft, auf welche Datensätze bei den einzelnen Organisationen zugegriffen wurde, und will betroffenen Kunden eine detaillierte Aufstellung schicken, sobald diese Arbeit abgeschlossen ist.
Zu den Kunden zählen Strafverfolgungsbehörden, Regierungsstellen, Kryptowährungsbörsen und Finanzinstitute. Sie nutzen die Blockchain-Analysetools, um Kryptowährungstransaktionen im Rahmen von Ermittlungen zu Betrug, Ransomware und Geldwäsche nachzuverfolgen. Chainalysis zufolge hat die bisherige Untersuchung keine Hinweise darauf ergeben, dass die Eindringlinge auf Ermittlungsinhalte, Zugangsdaten oder Sitzungstoken zugegriffen haben, mit denen angemeldete Sitzungen aufrechterhalten werden.
Erkennung lag vor der Offenlegung am Freitag
Chainalysis veröffentlichte seine Vorfallmeldung und den Text seiner E-Mail an betroffene Kunden am Freitag, dem 30. Oktober, gegen 17:14 Uhr ET. Das Unternehmen erklärte, es habe den unbefugten Zugriff des externen Akteurs bereits früher im Oktober erkannt und arbeite seitdem daran, Schwachstellen zu schließen und seine Abwehr zu stärken.
Ein Unternehmenssprecher teilte BleepingComputer mit, dass externe Cybersicherheitsspezialisten bei der Reaktion unterstützen. Chainalysis bezieht außerdem große Sprachmodelle – KI-Systeme, die Text verarbeiten und erzeugen – in eine umfassendere Sicherheitsprüfung seiner Plattform ein.
Das Unternehmen erklärt, der Vorfall stehe in keinem Zusammenhang mit dem jüngsten Binance-Diebstahl.
Was „agentisch“ hier bedeutet
Agentische KI kann eine Abfolge von Aufgaben mit begrenzter menschlicher Steuerung ausführen. Angewandt auf offensive Sicherheit könnte das bedeuten, eine Schwachstelle zu finden, sie auszunutzen zu versuchen und anhand des Ergebnisses eine andere Aktion zu wählen.
Die Beschreibung von Chainalysis lässt offen, ob die Eindringlinge ein fertiges Framework wie ARTEX verwendet oder eigene Agenten entwickelt haben. Welche Schwachstellen betroffen waren, welche internen Tools erreicht wurden und wie lange der Zugriff bestand, bleibt ebenfalls unklar. Die Formulierung liefert Kunden daher eine allgemeine Beschreibung des Angriffsansatzes statt einer technischen Darstellung des Eindringens.
Dokumentiert ist ein Fall, in dem solche Werkzeuge andernorts eingesetzt wurden. In seinem Bericht vom 21. Oktober erklärte Microsoft, dass der staatlich mit China verbundene Akteur Storm-0940 bereits im September 2026 ARTEX, ein KI-Framework für automatisierte Sicherheitstests, gegen Hunderte Organisationen weltweit eingesetzt hatte. Dabei habe der Akteur in mehreren Angriffen privilegierten Cloud-Zugriff erlangt, darunter mehrere Fälle, in denen weniger als drei Stunden von der ersten Zielerfassung an vergingen. Microsoft stufte den Akteur außerdem als verantwortlich für den separaten Lieferketten-Angriff auf ConnectWise ein.
Maßnahmen für Chainalysis-Kunden
Chainalysis rät Kunden, die Zwei-Faktor-Authentifizierung zu aktivieren, die beim Anmelden einen zusätzlichen Prüfschritt hinzufügt. Kunden sollten außerdem auf Passwort-Zurücksetzungsanfragen achten, die sie nicht selbst ausgelöst haben, sowie auf unerwartete Authentifizierungsaufforderungen und auf Personen, die sich als Chainalysis-Vertreter ausgeben. Das Unternehmen warnte ausdrücklich vor Betrügern, die Dienste zur Rückholung von Kryptowährungen oder Stellenangebote anbieten.
Chainalysis will weitere Updates bereitstellen, sobald die Untersuchung voranschreitet. Die angekündigten organisationsspezifischen Benachrichtigungen werden genauer darlegen, auf welche Datensätze zugegriffen wurde. Kunden sollten bis dahin den Empfehlungen des Unternehmens folgen, die Zwei-Faktor-Authentifizierung zu aktivieren, und bei diesen Betrugsversuchen durch Imitatoren wachsam bleiben.
