TL;DR
- Chainstack mengungkapkan pelanggaran yang mengungkap informasi pelanggan dan potensi kredensial node, sambil menyatakan bahwa node pelanggan, konsol, dan API-nya tidak diubah.
- Penyerang masuk melalui instance Grafana yang terbuka, mencapai server MCP tanpa otentikasi dengan hak cluster-admin, dan menggunakan ARTEX, sebuah kerangka kerja yang mengoordinasikan agen LLM.
- Chainstack tidak menemukan bukti bahwa kredensial node dibaca, tetapi menyarankan pelanggan untuk mengganti kredensial, mengubah kata sandi, menghasilkan ulang kunci API, dan memantau upaya phishing.
Chainstack telah mengungkapkan pelanggaran keamanan yang mengekspos data akun pelanggan dan berpotensi kredensial node, menghubungkan serangan ini dengan kampanye serangan yang didorong oleh AI yang lebih luas. Dalam laporan insiden resminya, penyedia infrastruktur Web3 mengatakan seorang penyerang eksternal masuk melalui komponen pihak ketiga dan mencapai sistem produksi setelah terlebih dahulu mengompromikan lingkungan pengembangan. Insiden ini mengekspos informasi pelanggan sementara node yang berhadapan dengan pelanggan, konsol, dan API tetap tidak diubah, menambahkan peringatan keamanan lain bagi operator infrastruktur Web3. Chainstack menyatakan rincian metode pembayaran seperti nomor kartu lengkap dan kode keamanan tidak disimpan dan karenanya tidak terpapar.
Alat AI Membantu Mengubah Kelemahan Infrastruktur Menjadi Akses Produksi
Penyerang pertama kali mengakses instance Grafana yang terpapar internet di klaster Kubernetes pengembangan di mana kredensial administrator default belum diubah dan autentikasi tambahan tidak ada. Proxy sumber data Grafana kemudian menyediakan rute ke layanan internal, termasuk server MCP tanpa autentikasi yang berjalan dengan hak cluster-admin. Chainchain mengatakan tidak menemukan kerentanan perangkat lunak yang dieksploitasi. Serangan tersebut justru menggabungkan kredensial default, kurangnya autentikasi, izin berlebihan, dan kredensial berumur panjang, menunjukkan bagaimana ancaman keamanan yang terkait AI dapat memperbesar kelemahan yang sudah ada di infrastruktur. Akses awal terjadi pada 26 Oktober, diikuti oleh akses produksi pada 29 Oktober.
Chainstack menilai dengan kepercayaan tinggi bahwa penyerang menggunakan ARTEX, kerangka kerja sumber terbuka yang mengoordinasikan agen LLM untuk mengotomatisasi intrusi. Para penyelidik menghubungkan pelanggaran ini dengan kampanye berbasis AI yang lebih luas melalui kesamaan alat, penanda, dan teknik, sambil menekankan bahwa hal ini tidak mengidentifikasi pelaku. Penyerang akhirnya membaca rahasia produksi, menggunakan kunci VPN yang telah dikompromikan, dan mengakses database produksi. Nama organisasi pelanggan, nama pemegang akun, alamat email anggota, dan hash kata sandi mungkin telah terekspos, memperluas kekhawatiran terkini seputar eksposur kredensial di berbagai perusahaan kripto. Chainstack mendeteksi intrusi ini pada 31 Oktober dan memutus jalur akses.
Sistem yang menyimpan kredensial node juga dapat diakses. Chainstack menyatakan tidak ada bukti bahwa kredensial tersebut benar-benar dibaca, tetapi memperlakukannya sebagai terbuka dan meminta pelanggan untuk menggantinya. Pelanggan juga diinstruksikan untuk mengubah kata sandi, menghasilkan ulang kunci API platform jika berlaku, dan tetap waspada terhadap upaya phishing. Chainstack memutus akses penyerang pada 31 Oktober dan mengamati penggunaan terakhir kredensial yang disalin pada 2 November, sambil mengganti kredensial yang terpapar, membatalkan sesi login, dan memperketat hak akses. Tanggapan ini mencerminkan langkah-langkah keamanan infrastruktur crypto yang lebih luas yang berfokus pada rotasi kredensial, otentikasi, dan pembatasan akses setelah pelanggaran.