ملخص
- كشفت Chainstack عن خرق أدى إلى كشف معلومات العملاء وربما بيانات اعتماد العقد، مع التأكيد على أن عقد العملاء وواجهة الإدارة وواجهة برمجة التطبيقات لم تُعدَّل.
- دخل المهاجم من خلال مثيل Grafana مكشوف، ووصل إلى خادم MCP غير مُصادَق عليه بصلاحيات cluster-admin واستخدم ARTEX، وهو إطار عمل يُنسق وكلاء LLM.
- وجد Chainstack عدم وجود دليل على أن بيانات اعتماد العقد تم قراءتها، لكنه أوصى العملاء بتبديلها، وتغيير كلمات المرور، وإعادة توليد مفاتيح API، ومراقبة محاولات التصيد.
كشفت Chainstack عن خرق أمني كشف بيانات حسابات العملاء وربما بيانات اعتماد العقد، وربطت هذا الاختراق بحملة هجوم أوسع تعتمد على الذكاء الاصطناعي. وفي تقرير الحادث الرسمي، قالت مزود البنية التحتية للـ Web3 إن مهاجمًا خارجيًا دخل من خلال مكون طرف ثالث ووصل إلى أنظمة الإنتاج بعد اختراق بيئة التطوير أولاً. وقد كشف الحادث عن معلومات العملاء، مع بقاء العقد الموجهة للعملاء والواجهة والواجهة البرمجية دون تغيير، مما يضيف تحذيرًا أمنيًا آخر لمزودي البنية التحتية للـ Web3. وأوضحت Chainstack أن تفاصيل طرق الدفع، مثل أرقام البطاقات الكاملة ورموز الأمان، لم تُخزن وبالتالي لم تُكشف.
ساعدت أدوات الذكاء الاصطناعي في تحويل نقاط الضعف في البنية التحتية إلى وصول إنتاجي
قام المهاجم أولاً بالوصول إلى مثيل Grafana معرض للإنترنت في مجموعة Kubernetes تطويرية حيث لم يتم تغيير بيانات اعتماد المدير الافتراضية ولم تكن هناك مصادقة إضافية. ثم قدم وكيل مصدر البيانات الخاص بـ Grafana مسارًا إلى الخدمات الداخلية، بما في ذلك خادم MCP غير المصادق عليه الذي يعمل بصلاحيات cluster-admin. وقال Chainstack إنه لم يجد أي ثغرة أمنية في البرمجيات تم استغلالها. بل إن الاختراق تسلسل من خلال بيانات اعتماد افتراضية، وغياب المصادقة، وصلاحيات مفرطة، وبيانات اعتماد طويلة الأمد، مما يُظهر كيف يمكن لـ التهديدات الأمنية المرتبطة بالذكاء الاصطناعي أن تعزز الثغرات الموجودة مسبقًا في البنية التحتية. حدث الوصول الأولي في 26 أكتوبر، تلاه الوصول إلى البيئة الإنتاجية في 29 أكتوبر.
قام Chainstack بتقييم بثقة عالية أن المهاجم استخدم ARTEX، وهو إطار عمل مفتوح المصدر يُنسق وكلاء نماذج اللغة الكبيرة لأتمتة الاختراقات. ربط المحققون الاختراق بالحملة الأوسع المدعومة بالذكاء الاصطناعي من خلال مطابقة الأدوات والعلامات التسموية والتقنيات، مع التأكيد على أن هذا لا يحدد الهوية الفعلية للمهاجم. في النهاية، قرأ المهاجم أسرار الإنتاج، واستخدم مفتاح VPN مخترق، وقام باستعلام قواعد بيانات الإنتاج. قد تكون أسماء منظمات العملاء وأسماء حاملي الحسابات وعناوين البريد الإلكتروني للأعضاء وقيم تجزئة كلمات المرور قد تم كشفها، مما يوسع المخاوف الأخيرة المتعلقة بكشف بيانات الاعتماد عبر شركات التشفير. اكتشف Chainstack الاختراق في 31 أكتوبر وقطع مسارات الوصول.
كانت الأنظمة التي تحتفظ ببيانات اعتماد العقد متاحة أيضًا. وقالت Chainstack إنها لا تمتلك أي دليل على أن هذه البيانات قد تم قراءتها فعليًا، لكنها تعاملها على أنها مكشوفة وتطلب من العملاء تغييرها. كما تم إرشاد العملاء على تغيير كلمات المرور، وإعادة توليد مفاتيح واجهة برمجة التطبيقات الخاصة بالمنصة حيثما كان ذلك ممكنًا، والبقاء يقظين أمام محاولات التصيد. قطعت Chainstack وصول المهاجم في 31 أكتوبر، ولاحظت آخر استخدام لبيانات اعتماد مُنسوخة في 2 نوفمبر، أثناء تدوير بيانات الاعتماد المكشوفة، وإبطال جلسات تسجيل الدخول، وتشديد الصلاحيات. يعكس هذا الرد تدابير أمان أوسع لـ بنية تحتية التشفير تركز على تدوير بيانات الاعتماد، والمصادقة، وتحديد الوصول بعد الاختراقات.