Хакеры проникли в инфраструктуру блокчейн-платформы Chainstack и добрались до базы с данными клиентов, включая хеши паролей. Компания связывает взлом с масштабной кампанией, в которой злоумышленники применяют искусственный интеллект. Теперь пользователям придётся срочно менять ключи доступа.
Chainstack предоставляет разработчикам доступ к блокчейн-сетям, включая Ethereum и Solana, через собственные узлы и API. Подобная инфраструктура позволяет приложениям отправлять транзакции и получать информацию из блокчейнов без развёртывания собственных серверов. Поэтому компрометация учётных данных может затронуть не только аккаунты клиентов, но и подключённые приложения.
Атака началась 26 октября 2026 года, когда посторонний получил доступ к среде разработки через сторонний компонент. Через три дня злоумышленник проник в отдельные части рабочей инфраструктуры. Chainstack обнаружила вторжение 31 октября и в тот же день перекрыла пути доступа. Расследование завершилось 2 ноября, а публичное уведомление появилось 3 ноября.
Злоумышленник получил доступ к базе, содержащей названия организаций, имена владельцев аккаунтов, адреса электронной почты сотрудников и хеши паролей. Chainstack допускает утечку перечисленных сведений, но не уточняет, какие записи действительно скопировали. Количество потенциально пострадавших клиентов компания также не раскрывает.
Отдельную опасность представляют учётные данные блокчейн-узлов. Атакующий получил доступ к системам, где хранились соответствующие секреты. Доказательств их прочтения компания не обнаружила, однако рекомендует считать ключи скомпрометированными. Подобные секреты позволяют приложениям обращаться к инфраструктуре от имени законного клиента.
Chainstack связывает инцидент с более широкой кампанией атак с применением ИИ, о которой стало известно в конце октября. Ранее исследователи CrowdStrike описали операции ARTEX, в ходе которых автоматизированные агенты помогали злоумышленникам атаковать более 200 организаций. Однако Chainstack не раскрыла технических доказательств связи собственного взлома с конкретной группировкой.
Несмотря на проникновение в рабочую инфраструктуру, клиентские узлы, интерфейс управления и API, по утверждению Chainstack, не подверглись изменениям. Сервисы продолжали работать без перебоев. Платёжные реквизиты также не пострадали, поскольку компания не хранит полные номера банковских карт и защитные коды.
В отчёте об инциденте Chainstack попросила всех клиентов заменить пароли, обновить учётные данные узлов и перевыпустить ключи платформенного API. Смена секретов доступна через панель управления без остановки работающих подключений. Компания также предупреждает о возможном фишинге и напоминает, что сотрудники поддержки никогда не запрашивают пароли и токены.
Случай Chainstack перекликается с недавним взломом Railway, после которого пользователям тоже рекомендовали заменить ключи и другие секреты. Обе истории показывают, почему при проникновении в инфраструктуру поставщика недостаточно просто закрыть доступ атакующему. Клиентам приходится дополнительно защищать связанные сервисы.
