보안
Chainalysis, 전체 사용자의 이름·사용자명·비밀번호 해시·활성 토큰이 공격자에게 노출됐다고 밝혀…AI 에이전트 기법과 연관 설명, 핵심 세부는 미공개
Chainalysis는 전체 사용자의 이름, 사용자명, 비밀번호 해시, 활성 토큰이 공격자에게 노출됐다고 밝혔다. 인프라 어디가 침해됐는지는 공개되지 않았다.
회사의 표현은 '악의적 행위자에게 노출됐다'로, 일부 헤드라인의 '탈취됐다'보다 좁다. Chainalysis는 2026년 11월 4일(수) 업데이트에서 월요일에 전체 사용자의 이름, 사용자명, 비밀번호 해시, 활성 토큰이 노출된 것을 확인했다고 밝혔다. 이는 제한적인 신원 정보를 언급하고 자격 증명이나 세션 토큰 침해 증거는 없다고 했던 10월 30일 공개를 넓히는 것이다. Ars Technica 등이 이 업데이트를 보도했다.
핵심 요약
- 노출된 것으로 알려진 것: 11월 4일 업데이트에 따르면 전체 Chainalysis 사용자의 이름, 사용자명, 비밀번호 해시, 활성 토큰.
- 달라진 점: 10월 30일에는 사용자 ID, 이름, 이메일, 조직 내 역할 라벨을 '공격적 에이전트 기법'에 의한 것으로 설명하고 자격 증명이나 세션 토큰 침해 증거는 없다고 했다.
- 두 번째 요소: 회사는 일부 고객 비밀번호를 노출시킨 온패스 공격(중간자 공격)을 설명하며 해당 경로는 수정했다고 한다.
- 고객에게 안내된 것: 일부 서비스가 오프라인이 됐고, KYT와 Address Screening은 허용된 IP 주소를 통해 복구 중이며 자격 증명을 재설정해야 한다. 다른 곳에서 같은 비밀번호를 쓴 사용자는 그쪽도 바꾸라고 안내받았다.
활성 토큰이 중요한 이유
활성 토큰은 비밀번호 없이 계정에 들어갈 수 있게 할 수 있는, 현재 유효한 인증 코드다. 해시는 비밀번호의 저장 형태로, 얼마나 깨기 어려운지는 만든 방식에 달렸는데 우리가 본 보도에서 회사는 이를 설명하지 않았다.
누가 Chainalysis를 쓰나
BleepingComputer는 고객에 법 집행기관, 정부 기관, 금융기관, 보험사, 암호화폐 기업이 포함된다고 전한다. 이 맥락은 주목받는 이유를 설명하지만 특정 고객의 데이터가 악용됐음을 보여주지는 않는다.
확립되지 않은 점
- 인프라 어디가 침해됐는지, 가로채인 트래픽이 TLS로 암호화됐는지: 공개되지 않았다.
- 침입, 가로채기, 노출된 토큰 뒤에 한 명인지 여러 명인지: 언급 없음.
- 노출된 토큰이 실제로 계정이나 데이터 접근에 쓰였는지: 보도에서 확인되지 않았다.
- 월요일 발견 후 전체 사용자 범위 공지가 수요일이 된 이유: Ars Technica 중계에 따르면 회사는 설명하지 않았다.
비교 표
| 항목 | 2026년 11월 7일 기준 공표 내용 | 출처 |
|---|---|---|
| 첫 공개 | 10월 30일: 제한적 신원 정보, 자격 증명 노출 증거 없음 | crypto.news |
| 업데이트 | 11월 4일: 전체 사용자의 이름, 사용자명, 해시, 활성 토큰 | BleepingComputer |
| 두 번째 경로 | 온패스 공격으로 일부 비밀번호 노출, 수정됐다고 함 | Northeast Times |
| 대응 | 서비스 오프라인, IP 허용 목록, 재설정 의무화 | BleepingComputer |
| 불명 | 침해 위치, 공격자 수, 토큰 악용 | Northeast Times |
자주 묻는 질문
비밀번호가 평문으로 탈취됐나
Chainalysis는 전체 사용자의 해시가 노출됐고 별도의 온패스 공격으로 일부 비밀번호가 노출됐다고 밝혔다.
고객이 해야 할 일이 있나
회사는 허용 목록용 신뢰 IP 주소를 요청하고 자격 증명 재설정을 요구하며, 요청하지 않은 재설정 이메일의 링크를 따르지 말라고 경고했다.
AI가 관련됐나
Chainalysis는 첫 단계를 공격적 에이전트 기법에 의한 것으로 설명했으나 사용 방식은 자세히 밝히지 않았다.
방법과 한계
출처는 2026년 11월 7일에 확인했다. Ars Technica 보도와 Chainalysis 블로그는 직접 읽지 않았고 이를 전한 BleepingComputer, crypto.news, Northeast Times에 의존했다. 보안·법률 조언이 아니다.
출처
- BleepingComputer: Chainalysis says breach exposed credentials for all customers (확인일: 2026-11-07)
- crypto.news: Chainalysis confirms user credentials exposed in cyberattack, takes services offline (확인일: 2026-11-07)
- Northeast Times: Chainalysis Says Every User's Password Hash and Live Token Was Exposed (확인일: 2026-11-07)
