Chainalysis Veri İhlali Tüm Kullanıcı Bilgilerini Ortaya Çıkardı, Temel Hizmetler Durduruldu

Chainalysis Veri İhlali Tüm Kullanıcı Bilgilerini Ortaya Çıkardı, Temel Hizmetler Durduruldu

Blockchain analiz firması Chainalysis, sistemlerini hedef alan siber saldırıya yönelik devam eden soruşturmasının, tüm kullanıcıların adlarını, kullanıcı adlarını, parola hash’lerini ve canlı token’larını da ifşa ettiğini duyurdu. Şirket, “Soruşturma devam ederken Reactor ve Data Solutions’a erişimi kaldırdık” dedi ve ekledi: “Şu anda herhangi bir soruşturma verisine erişildiğine veya Chainalysis atıf verilerinin manipüle edildiğine dair bir kanıtımız yok.”

Chainalysis, olağandışı etkinlikleri tespit etmek için ek proaktif izleme sistemleri uyguladığını belirtti. Ayrıca, Know Your Transaction (KYT) kullanıcı arayüzünü ve API’sini, diğer adres tarama ürünlerini ve giriş sayfasını çevrimdışı duruma getirdiğini ekledi. Daha önce Chainalysis, “devam eden çok cepheli bir siber saldırı” olarak tanımladığı olayı araştırdığını ve bunun sonucunda belirli müşteri parolalarını ifşa eden bir “yol üzeri saldırısı” keşfettiğini açıklamıştı. Şirket, saldırı vektörünün o zamandan beri ele alındığını bildirdi.

Chainalysis, aşırı ihtiyatlı davranarak etkilenen hesapları da kilitledi. Şirket, “Chainalysis parolanızı sıfırlamanızı isteyen bir e-posta alan müşteriler için, bu parolayı şu anda sıfırlamak mümkün olmayacaktır” uyarısında bulundu. “Yine de, kimlik bilgilerini yeniden kullanıyor olabileceğiniz diğer sistemlerde parolanızı sıfırlamanızı teşvik ediyoruz.”

Bu gelişme, Chainalysis’in 2026 Ekim’inde, harici bir aktörün sistemlerine ve dahili araçlarına yetkisiz erişim sağlamak için saldırgan yapay zeka tekniklerini kullandığı bir siber güvenlik olayının hedefi olduğunu açıklamasından bir haftadan kısa bir süre sonra yaşandı.

Şirket, KYT ve Adres Tarama’ya erişimi yeniden sağlamaya başlayacağını ve müşterileri, güvenilir IP adresleriyle destek e-postası ([email protected]) veya Chainalysis hesap ekibiyle iletişime geçmeye çağırdı. Bu IP adresleri bir izin listesine eklenecek ve kullanıcılar daha sonra parolalarını sıfırlayabilecek ve işlemleri kaydetmek için API anahtarlarını değiştirebilecekler.

Chainalysis, “Sistemlerimizi güçlendirmek ve Reactor ile Data Solutions’ı tekrar çevrimiçi hale getirmek için gece gündüz çalışıyoruz” dedi. “Hesaplara erişim için ek korumalar gerektireceğiz; buna göre her kullanıcının parolalarını sıfırlaması ve uygun şekilde API anahtarlarını değiştirmesi gerekecek. Bu değişiklikleri gerektiğinde bildireceğiz.”

Saldırının arkasında kimin olduğu belirsizliğini korurken, Chainalysis bunun “son haftalarda birçok diğer teknoloji platformuna” benzer olduğunu belirtiyor.

Yapay Zeka Destekli Saldırılarda Artış

Gerçekten de, Chainstack, OpenCode, Warp ve WorkOS dahil olmak üzere birçok şirket, yapay zeka (AI) destekli saldırıların hedefi olduklarını açıkladı. Bu saldırıların bazıları ARTEX adlı otonom bir sızma testi aracını içeriyor.

Microsoft’a göre, tehdit aktörleri, birden fazla uygulama ve bulut hizmetinde kimlik bilgileri, uygulama kimlik bilgileri ve yapay zeka çıkarımıyla ilgili API anahtarları gibi ifşa edilmiş sırları bulmak için genel GitHub depolarını taramak amacıyla yapay zeka destekli bir saldırı çerçevesi kullanıyor. Bu sayede, takip eden saldırıları gerçekleştirebiliyorlar.

Teknoloji devi, “ARTEX gibi yapay zeka araçları, tehdit aktörlerinin birden fazla depoda sırları daha hızlı taramasını sağlamakla kalmıyor, aynı zamanda çıktıları analiz etmek ve takip eden saldırıları gerçekleştirmek için ajanları kullanmalarına olanak tanıyor. Bu da tehdit aktörünün saldırı zinciri boyunca klavye başında etkileşim kurma ihtiyacını azaltıyor” dedi.

En az bir vakada, bir yapay zeka ajanının GitHub’ı sırları taramaktan Azure Key Vault’tan veri sızdırmaya sadece beş dakikada geçtiği belirtildi. Bu faaliyetin 2026 Ağustos’undan beri devam ettiği değerlendiriliyor.

Kampanyanın bazı yönleri, belirli kuruluşların Microsoft Entra ID kiracılarına ve bağlı Azure ve Microsoft 365 kaynaklarına erişmek için geçerli uygulama kimlik bilgilerinin kötüye kullanılmasıyla ilgili sömürü sonrası faaliyetlere karşılık geliyor. Oturum açma olayları iki IP adresinden kaynaklandı: 199.19.77[.]84 ve 199.19.77[.]18.

Microsoft, “Ajan, birden fazla kiracıdaki düzinelerce ilişkili uygulamada hizmet sorumlusu oturum açmalarını başarıyla gerçekleştirdi” dedi.

“Tehdit aktörü, depolama hesabı anahtarları, Uygulama Hizmeti ayarları, bağlantı dizeleri ve yayınlama kimlik bilgileri, yapay zeka ve makine öğrenimi (ML) bağlantıları ve veri depoları ile Azure Kubernetes Hizmeti (AKS) kullanıcı kimlik bilgileri dahil olmak üzere kimlik bilgilerini döndüren işlemleri hedefledi. Tehlikeye atılan uygulamalar daha sonra hedeflenen kuruluş kiracılarındaki SharePoint ve OneDrive’a erişti; buna dosya indirmeleri ve posta kutusu öğesi erişimi de dahildi.”

Ek olarak, tehdit aktörünün, daha geniş saldırı faaliyetlerini kolaylaştırma çabalarının bir parçası olarak, tehlikeye atılan Azure yapay zeka hizmetleri de dahil olmak üzere Azure kaynaklarını çalmaya çalıştığı gözlemlendi.

Kampanyanın bir diğer dikkat çekici yönü, yapay zeka araçlarının aynı hedef kuruluştaki tek kiracılı bir OAuth uygulaması için bir token elde ettiği ve ardından tehlikeye atılan OAuth uygulamasını kullanarak kuruluş içindeki diğer bulut kaynaklarını numaralandırdığı tespit edildi. Microsoft, birkaç vakada ajanların kuruluşun Azure Key Vault’undan sırları sızdırdığını gözlemlediğini belirtti.

Microsoft, “Bu faaliyet sırasında, yapay zeka ajanları, büyük yapay zeka hizmet sağlayıcıları için API anahtarları ve Foundry Araçları’na (önceden Azure Bilişsel Hizmetler olarak biliniyordu) erişimi olan OAuth uygulamaları gibi yapay zeka hizmetlerine erişim sağlayan kimlik bilgilerine odaklandıklarını defalarca gösterdi” dedi.

Bu gelişme, son bir ayda yapay zeka geliştirici platformlarını hedef alan saldırılardaki artışla da çakışıyor. Bu saldırılar, tehdit aktörlerinin erişimi yeniden satmasına, bunları ücretsiz işlem gücü olarak kötüye kullanmasına (yani LLMjacking) ve daha fazla saldırı için atıf örtüsü olarak kullanmasına olanak tanıyor.

Bu hafta yayınlanan bir raporda Google, siber suçluların ticari büyük dil modellerine (LLM’ler) bulut erişimini çalmaktan ve bunu ücretli müşterilere yeniden satmaktan bir iş modeli oluşturduğunu açıkladı.

Para kazanma altyapısı, LLM Karıştırıcıları (LLM Mixers) etrafında dönüyor. Bu karıştırıcılar, müşterilerinin kendi yasal API kimlik bilgilerini veya bulut altyapılarını kurmalarına gerek kalmadan, yeraltı pazarlarında tehlikeye atılmış kurumsal LLM hesaplarına erişimi duyurmak için yasa dışı bir aracı görevi görüyor. Başka bir deyişle, LLM karıştırıcıları, çalınan kurumsal model erişimini, ücretli aboneler için bir suçlu yönlendirme geçidine dönüştürürken, yasal sahibinin sistemleri istekleri kabul etmeye devam ediyor. Bu hizmetler, çalınan hesaplar arasında istekleri ve tüketimi dağıtmaya ve orijinal erişim kaynağını gizlemeye yardımcı oluyor.

Wiz, ortaya çıkan LLMjacking ekosisteminin “çalmayı kolayca paraya çevrilebilir hale getiren bir pazar yarattığını ve muhtemelen daha fazla aktörü kimlik bilgilerini çalma operasyonları üstlenmeye yönelttiğini” belirtti.

Google’a ait yan kuruluş ayrıca, iki farklı kuruluştan elde edilen çalınan AWS Bedrock anahtarlarını kullanan en az iki yeniden satış operasyonu tespit ettiğini söyledi: llm-routing[.]com (momo) ve xingjiabiapi[.]org. Her ikisi de indirimli fiyatlarla geniş bir yelpazede öncü modeller sunuyor. Bununla birlikte, bu web sitelerinin operatörlerinin ilk platform ihlallerinden sorumlu olduğuna dair bir kanıt bulunmuyor.

İlginç bir şekilde, llm-routing[.]com ile bağlantılı IP adresi, 23.106.46[.]239, 2026 Ekim ortasında bir Artex açılış sayfası barındırıyordu ve Zeabur tarafından bir ihlal göstergesi olarak işaretlendi. Geçen ay Zeabur, bilinmeyen bir tehdit aktörünün düz metin olarak depolanan kimlik bilgilerini kullanarak altyapısını tehlikeye attığı ve 3,2 milyondan fazla ortam değişkeni kaydını ve 321.810 hesapla ilişkili verileri sızdırdığı bir güvenlik ihlalini açıklamıştı.

Aşağıdaki IP adresleri, çalınan anahtarları test etmek için kullanıldı ve LLM token kötüye kullanımı ve yeniden satışı ile bağlantılı olduğundan şüpheleniliyor:

• 23.106.46.239
• 38.246.114.118
• 104.243.32.50
• 31.57.201.201

Wiz, “Tehdit aktörleri sadece saldırıları gerçekleştirmek için yapay zekayı bir araç olarak kullanmakla kalmıyor, aynı zamanda kurban ortamlarını yalnızca finanslarını büyük dil modeli (LLM) yürütmesi için kötüye kullanmak amacıyla tehlikeye atıyor ve yüz binlerce dolarlık yapay zeka API ücreti tahakkuk ettiriyor” dedi.