Как сообщает The Hacker News со ссылкой на Чейнстек, в период с 26 по 31 октября 2026 года злоумышленники проникли из среды разработки в часть производственной инфраструктуры и получили доступ к базе клиентских учётных записей, содержащей имена, адреса электронной почты и хеши паролей. По данным издания, атакующие также добрались до систем, где хранились учётные данные нод. Чейнстек заявил, что не располагает доказательствами их прочтения, однако всё равно рекомендовал клиентам сменить эти данные.

Какие данные, предположительно, были раскрыты

Согласно имеющимся сообщениям, злоумышленники получили доступ к базе клиентских учётных записей Чейнстека, содержащей данные четырёх категорий: названия организаций, имена владельцев аккаунтов, адреса электронной почты участников организаций и хеши паролей. Это наиболее чётко подтверждённый перечень данных, к которым, предположительно, был получен доступ в ходе инцидента.

Это не равнозначно утверждению о полной компрометации всех клиентских секретов или записей. Имеющиеся сведения не подтверждают раскрытие платёжных данных, API-ключей, KYC-записей, паролей в открытом виде либо иных полей базы данных. Поэтому делать такие выводы на основании текущего описания инцидента не следует.

Были ли скомпрометированы учётные данные нод и что делать клиентам

Имеющиеся сообщения не подтверждают, что учётные данные нод были прочитаны или выведены за пределы систем. Вместо этого The Hacker News пишет, что, по заявлению Чейнстека, атакующие имели доступ к системам хранения этих данных, однако доказательств их прочтения обнаружено не было.

Это важное различие. Рекомендация сменить учётные данные носит превентивный характер, но остаётся операционно значимой. Если эти данные могут влиять на доступ к инфраструктуре, клиентам не следует откладывать защитные меры только потому, что нет подтверждений их просмотра.

Согласно тем же данным, клиентам рекомендовали сменить учётные данные нод, перевыпустить API-ключи платформы, обновить пароли Чейнстека и пароли, повторно используемые на других сервисах, а также следить за попытками фишинга. На практике предполагаемое раскрытие объединяет два риска: последующие атаки на аккаунты с использованием имён и адресов электронной почты и отдельную необходимость заменить чувствительные данные доступа, связанные с работой нод.

Как, предположительно, развивалось проникновение в Чейнстек

Предоставленное описание инцидента указывает на поэтапное проникновение, а не на единичную точку взлома. Согласно ему, злоумышленники сначала вошли через тестовый экземпляр Grafana, на котором сохранялись стандартные учётные данные администратора, а затем расширили доступ с помощью неаутентифицированного сервера инструментов MCP и похищенных учётных данных машины.

В том же описании говорится, что расследование выявило использование атакующими фреймворка ARTEX, однако доказательств эксплуатации уязвимостей программного обеспечения найдено не было. Исходя из этого, описанный путь атаки указывает на злоупотребление конфигурацией и учётными данными, а не на подтверждённый дефект продукта, затрагивающий всех пользователей.

В предоставленном отчёте также сказано, что клиентские ноды, консоли и API не были изменены. Это важная граница для понимания ситуации: текущие сообщения подтверждают раскрытие данных аккаунтов и необходимость превентивной смены учётных данных, но не подтверждают модификацию клиентской блокчейн-инфраструктуры.