Chainalysisin tietomurto laajeni – kaikkien käyttäjien salasanatiivisteet ja istuntotunnisteet vuotivat
Yhtiö kertoi ensin, ettei sillä ollut näyttöä salasanojen vuodosta, mutta korjasi tietojaan viisi päivää myöhemmin.
Tiivistelmä
Chainalysis kertoi 4. marraskuuta, että kaikkien sen käyttäjien nimet, käyttäjätunnukset, salasanatiivisteet ja voimassa olevat istuntotunnisteet joutuivat hyökkääjän käsiin. Osa selkokielisistä salasanoista paljastui välikäsihyökkäyksessä, ja yhtiö sulki ydinpalvelunsa. KYT-palvelun avaaminen alkoi 6. marraskuuta, mutta Reactor on yhä suljettuna.
Kryptoanalytiikkayhtiö Chainalysis kertoi 30. lokakuuta, että tietomurrossa vuosivat käyttäjien nimet, käyttäjätunnukset, sähköpostiosoitteet ja organisaatioroolit, eikä sillä ollut näyttöä salasanojen tai istuntotunnisteiden vuotamisesta.
Marraskuun 4. päivänä se kertoi päivittämällään tiedotesivulla toisin.
– Kaikkien Chainalysisin käyttäjien nimet, käyttäjätunnukset, salasanatiivisteet ja voimassa olevat istuntotunnisteet päätyivät pahantahtoisen toimijan käsiin, yhtiö kirjoittaa.
Huijausvahti välitti yhtiön alkuperäisen arvion 1. marraskuuta julkaistussa jutussaan.
Selkokielisiä salasanoja ei vuotanut kaikilta. Yhtiö kertoi asiakkailleen samana päivänä lähettämässään sähköpostissa, että välikäsihyökkäyksessä paljastui osa asiakkaiden salasanoista ja näiden käyttäjien tilit lukittiin.
Chainalysisin asiakkaat ovat organisaatioita, kuten kryptopörssejä, vaatimustenmukaisuustiimejä ja viranomaisia. Käyttäjiä ovat esimerkiksi Europol ja Kreikan poliisi, joka teki Reactor-sopimuksen vuonna 2025. Lähteet eivät kerro, käyttävätkö suomalaiset viranomaiset palvelua.
Istuntotunniste (session token)
Kirjautumisen jälkeen palvelu antaa tunnisteen, jonka ansiosta se pitää sinua kirjautuneena kysymättä salasanaa tai toista tunnistautumisvaihetta uudelleen. Varastetulla voimassa olevalla tunnisteella hyökkääjä voi ohittaa molemmat, kunnes tunniste vanhenee tai mitätöidään. Siksi tunnisteet vaihdetaan ja kaikkien on kirjauduttava uudelleen.
Palvelut suljettiin kahdessa vaiheessa
Maanantaina 2. marraskuuta yhtiö sulki Reactor-tutkintatyökalun ja Data Solutions -palvelun varotoimena. Chainalysis kertoo havainneensa tunnistetietojen vuodon samana päivänä. Kyse on havaitsemispäivästä, sillä tunkeilija pääsi järjestelmiin jo aiemmin lokakuussa.
Keskiviikkona 4. marraskuuta yhtiö sulki myös KYT-palvelun käyttöliittymän ja rajapinnan, Address Screening -palvelun, kirjautumissivun ja Chain-betaversion, koska järjestelmissä havaittiin poikkeavaa toimintaa. Asiakkaille kerrottiin, ettei salasanaa voinut juuri silloin vaihtaa, ja heitä kehotettiin vaihtamaan muualla uudelleen käytetyt salasanat.
– Olemme alkaneet palauttaa pääsyä KYT- ja Address Screening -palveluihin vaiheittain, yhtiö kertoi perjantaina 6. marraskuuta.
Asiakkaiden on ensin ilmoitettava luotetut IP-osoitteensa sallittujen listalle, vaihdettava salasanansa ja uusittava API-avaimensa ennen kuin pääsy palautuu. Osa uutislähteistä on kertonut palautuksen alkaneen jo 5. marraskuuta, mutta yhtiön oma päivitys on päivätty kuudenneksi päiväksi.
Mitä tehdä
Chainalysis varoittaa itse salasanan palautusviesteistä.
– Mene suoraan Chainalysisin kirjautumissivulle sen sijaan, että klikkaisit salasanan palautusviestien linkkejä, yhtiö neuvoo.
Varovaisuus on paikallaan myös muissa yhtiön nimissä tulevissa viesteissä. Kaikkiin Chainalysisin nimellä lähetettyihin viesteihin, joissa luvataan hyvityksiä tai varojen palautusta tai pyydetään vahvistamaan tili, kannattaa suhtautua epäluuloisesti, vaikka tällaisesta kampanjasta ei ole raportoitu.
Työssään Chainalysisia käyttävän kannattaa vaihtaa jokainen muualla uudelleen käytetty salasana ja uusia API-avaimet. Kalasteluviestistä voi ilmoittaa Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Mitä ei tiedetä
Hyökkääjää, murron alkamispäivää, alkuperäistä haavoittuvuutta tai vuodon koskettamien käyttäjien määrää yhtiö ei ole kertonut. Chainalysis sanoo yhä, ettei sillä ole näyttöä pääsystä tutkintatietoihin tai siitä, että sen osoitteiden tunnistetietoja olisi peukaloitu, ja kiistää edelleen yhteyden Binance-pörssin lokakuun lopulla alkaneeseen kryptovarkauteen, jonka FBI on yhdistänyt Pohjois-Koreaan.
KYT-asiakkaille, joiden tileillä näyttää olleen luvatonta käyttöä, yhtiö ilmoittaa suoraan.
Reactor ja Data Solutions ovat yhä suljettuina, eikä yhtiö ole kertonut niiden avaamispäivää.
Lähteet
- Chainalysis: Security Incident Information (06.11.2026)
- BleepingComputer: Chainalysis says breach exposed credentials for all customers (06.11.2026)
- The Hacker News: Chainalysis breach exposes all users (06.11.2026)
- Bitcoin.com News: Chainalysis breach exposes passwords, tokens of all users (05.11.2026)