TL;DR
- Chainstack reveló una brecha que expuso información de clientes y posiblemente credenciales de nodos, mientras afirmaba que los nodos de los clientes, su consola y su API no fueron modificados.
- El atacante ingresó a través de una instancia expuesta de Grafana, alcanzó un servidor MCP sin autenticación con derechos de cluster-admin y utilizó ARTEX, un marco que orquesta agentes de LLM.
- Chainstack no encontró evidencia de que las credenciales del nodo hayan sido leídas, pero aconsejó a los clientes que roten las credenciales, cambien las contraseñas, regeneren las claves de API y monitoreen intentos de phishing.
Chainstack ha revelado una brecha de seguridad que expuso datos de cuentas de clientes y posiblemente credenciales de nodos, vinculando la intrusión a una campaña de ataque más amplia impulsada por IA. En su informe oficial de incidentes, el proveedor de infraestructura Web3 indicó que un atacante externo ingresó a través de un componente de terceros y llegó a sistemas de producción tras comprometer primero un entorno de desarrollo. El incidente expuso información de clientes, mientras que los nodos orientados al cliente, la consola y la API permanecieron sin modificaciones, añadiendo otra advertencia de seguridad para operadores de infraestructura Web3. Chainstack afirmó que los detalles del método de pago, como números completos de tarjetas y códigos de seguridad, no se almacenan y por lo tanto no fueron expuestos.
Las herramientas de IA ayudaron a convertir debilidades en infraestructura en acceso a producción
El atacante accedió inicialmente a una instancia de Grafana expuesta a internet en un clúster de Kubernetes de desarrollo, donde las credenciales administrativas predeterminadas no habían sido modificadas y no había autenticación adicional. El proxy de origen de datos de Grafana proporcionó luego una ruta a servicios internos, incluido un servidor MCP sin autenticación que se ejecutaba con privilegios cluster-admin. Chainstack indicó que no encontró ninguna vulnerabilidad de software explotada. La intrusión en cambio combinó credenciales predeterminadas, ausencia de autenticación, permisos excesivos y credenciales de larga duración, mostrando cómo las amenazas de seguridad vinculadas a la IA pueden amplificar debilidades ya presentes en la infraestructura. El acceso inicial ocurrió el 26 de octubre, seguido del acceso a producción el 29 de octubre.
Chainstack evaluó con alta confianza que el atacante utilizó ARTEX, un marco de código abierto que orquesta agentes de LLM para automatizar intrusiones. Los investigadores vincularon la brecha con la campaña más amplia impulsada por IA mediante la coincidencia de herramientas, marcadores de nombre y técnicas, destacando que esto no identifica al actor. El atacante finalmente leyó secretos de producción, utilizó una clave de VPN comprometida y consultó bases de datos de producción. Los nombres de las organizaciones de los clientes, los nombres de los titulares de cuentas, las direcciones de correo electrónico de los miembros y los hashes de contraseñas podrían haberse expuesto, ampliando las preocupaciones recientes sobre la exposición de credenciales en empresas de cripto. Chainstack detectó la intrusión el 31 de octubre y cortó las rutas de acceso.
Los sistemas que contenían las credenciales del nodo también eran accesibles. Chainstack indicó que no tiene evidencia de que esas credenciales hayan sido leídas, pero las trata como expuestas y pide a los clientes que las cambien. También se instruyó a los clientes a cambiar las contraseñas, regenerar las claves de API de la plataforma cuando corresponda y mantenerse alerta ante intentos de phishing. Chainstack revocó el acceso del atacante el 31 de octubre y observó el último uso de una credencial copiada el 2 de noviembre, mientras realizaba el cambio de credenciales expuestas, invalidaba sesiones de inicio de sesión y restringía los privilegios. La respuesta refleja las medidas más amplias de seguridad de la infraestructura crypto centradas en el cambio de credenciales, la autenticación y la limitación del acceso tras brechas.