TL;DR
- Chainstack a révélé une violation ayant exposé les informations clients et potentiellement les identifiants des nœuds, tout en affirmant que les nœuds clients, sa console et son API n'ont pas été modifiés.
- L'attaquant est entré via une instance Grafana exposée, a atteint un serveur MCP non authentifié avec des droits cluster-admin et a utilisé ARTEX, un framework qui orchestre des agents LLM.
- Chainstack n'a trouvé aucune preuve que les informations d'identification du nœud aient été lues, mais a demandé aux clients de les renouveler, de changer leurs mots de passe, de régénérer leurs clés API et de surveiller les tentatives d'hameçonnage.
Chainstack a révélé une violation de sécurité qui a exposé les données des comptes clients et potentiellement les identifiants des nœuds, en liant cette intrusion à une campagne d'attaques plus large pilotée par l'IA. Dans son rapport d'incident officiel, le fournisseur d'infrastructure Web3 a indiqué qu'un attaquant externe avait pénétré via un composant tiers et atteint les systèmes de production après avoir d'abord compromis un environnement de développement. L'incident a exposé des informations clients, tout en laissant les nœuds accessibles aux clients, la console et l'API inchangés, ajoutant un autre avertissement de sécurité pour les opérateurs d'infrastructure Web3. Chainstack a précisé que les détails des modes de paiement, tels que les numéros complets de cartes et les codes de sécurité, n'étaient pas stockés et n'ont donc pas été exposés.
Les outils IA ont permis de transformer les faiblesses d'infrastructure en accès à la production
L'attaquant a d'abord accédé à une instance Grafana exposée sur Internet dans un cluster Kubernetes de développement où les identifiants administrateur par défaut n'avaient pas été modifiés et où aucune authentification supplémentaire n'était présente. Le proxy de source de données de Grafana a ensuite fourni un accès à des services internes, notamment un serveur MCP non authentifié fonctionnant avec des privilèges cluster-admin. Chainstack a indiqué qu'aucune vulnérabilité logicielle n'avait été exploitée. L'intrusion a plutôt combiné des identifiants par défaut, une absence d'authentification, des permissions excessives et des identifiants à long terme, démontrant comment les menaces de sécurité liées à l'IA peuvent amplifier les faiblesses déjà présentes dans l'infrastructure. L'accès initial a eu lieu le 26 octobre, suivi de l'accès à la production le 29 octobre.
Chainstack a évalué avec une grande confiance que l'attaquant a utilisé ARTEX, un cadre open-source qui orchestre des agents LLM pour automatiser les intrusions. Les enquêteurs ont lié la violation à la campagne plus large pilotée par l'IA grâce à la correspondance des outils, des marqueurs de nommage et des techniques, tout en soulignant que cela ne permet pas d'identifier l'acteur. L'attaquant a finalement lu des secrets de production, utilisé une clé VPN compromise et interrogué des bases de données de production. Les noms des organisations clientes, les noms des titulaires de comptes, les adresses e-mail des membres et les hachages de mots de passe pourraient avoir été exposés, prolongeant les préoccupations récentes autour de l'exposition d'identifiants chez les entreprises de crypto-monnaie. Chainstack a détecté l'intrusion le 31 octobre et a coupé les chemins d'accès.
Les systèmes contenant les informations d'identification des nœuds étaient également accessibles. Chainstack a déclaré qu'il n'existait aucune preuve que ces informations d'identification avaient été effectivement consultées, mais les traite comme exposées et demande à ses clients de les renouveler. Les clients ont également été invités à modifier leurs mots de passe, à régénérer les clés API de la plateforme lorsque cela s'applique, et à rester vigilants face aux tentatives d'hameçonnage. Chainstack a coupé l'accès de l'attaquant le 31 octobre et a observé la dernière utilisation d'une identité copiée le 2 novembre, tout en renouvelant les identifiants exposés, en annulant les sessions de connexion et en renforçant les privilèges. La réponse reprend les mesures plus larges de cybersécurité de l'infrastructure crypto axées sur le renouvellement des identifiants, l'authentification et la limitation des accès après une violation.