Am 30. Oktober gab Chainalysis zu, getroffen worden zu sein. Chainalysis ist die Firma, die man anruft, wenn Krypto gestohlen wird. Am 6. November sagte sie den Satz laut, den niemand hören wollte: Namen, Benutzernamen, Passwort-Hashes und Live-Tokens, für alle Nutzer.
Lies die Liste noch einmal. Die Passwort-Hashes sind der peinliche Teil. Die Live-Tokens sind der gefährliche.
Was Chainalysis tatsächlich eingeräumt hat
Der Angriff war keine Phishing-Mail und kein offener S3-Bucket. Es war ein "laufender Cyberangriff an mehreren Fronten", ausgeführt mit dem, was das Unternehmen offensive agentische Techniken nennt: Software, die einen Weg hinein findet, liest, was sie findet, und weiterläuft, ohne dass ein Mensch jeden Schritt steuert.
Die Reaktion zeigt, wie schlimm es stand. Chainalysis nahm die KYT-Oberfläche und die API vom Netz. Es zog die Adress-Screening-Produkte zurück. Es schaltete die Login-Seite ab. Es entzog den Zugriff auf Reactor und Data Solutions, während untersucht wurde. Dann sperrte es die betroffenen Konten.
Und dann kommt das Detail, das jeden CTO beim Lesen beunruhigen sollte:
"Für Kunden, die gerade eine E-Mail von uns erhalten haben, uns zu bitten, Ihr Chainalysis-Passwort zurückzusetzen: Ein Zurücksetzen dieses Passworts ist derzeit nicht möglich."
Der Standardrat nach einer Breach, ändere dein Passwort, war unbrauchbar, weil der Reset-Flow selbst eines der Dinge war, die abgeschaltet werden mussten. Das Unternehmen verwies auf den einzigen Rat, der noch stand: ändere dieses Passwort überall dort, wo du es wiederverwendet hast.
Die Wiederherstellung des Zugriffs läuft über eine manuelle Allowlist. Kunden mailen vertrauenswürdige IP-Adressen, die werden eingetragen, und erst dann lassen sich Passwörter zurücksetzen und API-Keys rotieren.
Bislang sagt Chainalysis, es gebe keine Hinweise darauf, dass Untersuchungsdaten eingesehen oder Attributionsdaten manipuliert wurden. Das ist echte gute Nachricht in einer Geschichte, die es sonst nicht ist. Die Credential-Oberfläche ist trotzdem weg.
Fünf Minuten von GitHub zum Key Vault
Chainalysis ist kein Ausreißer. Es ist ein Datenpunkt auf einer Kurve, die sich in diesem Herbst stark gekrümmt hat.
Microsoft beschrieb eine agentische Kampagne, in der ein KI-Framework öffentliche GitHub-Repositories nach exponierten Secrets durchsuchte: Anwendungs-Credentials, Cloud-Keys und zunehmend die API-Keys, mit denen KI-Inferenz bezahlt wird. In mindestens einem Fall ging der Agent von einem gefundenen Secret zu Daten, die aus Azure Key Vault exfiltriert wurden, in fünf Minuten.
Das Muster nach der Kompromittierung lohnt sich zu merken, denn es ist alles andere als exotisch:
- Eine gültige Anwendungs-Credential an einem öffentlichen Ort finden.
- Sich damit als Service Principal anmelden, leise, über Dutzende Anwendungen in mehreren Tenants.
- Die Plattform nach allem fragen, was weitere Credentials liefert: Storage-Account-Keys, App-Service-Einstellungen, Connection Strings, Publishing-Credentials, AKS-User-Credentials, KI- und ML-Connection-Strings.
- Mit den neu übernommenen Anwendungen bis zu SharePoint, OneDrive und Postfächern durchgreifen.
- In manchen Fällen ein Token für eine Single-Tenant-OAuth-Anwendung greifen und damit den Rest der Cloud durchzählen.
Microsoft fiel auf, dass die Agenten immer wieder Credentials priorisierten, die KI-Dienste aufschließen: API-Keys von Modell-Anbietern und OAuth-Apps mit Zugriff auf Foundry Tools. Zwei IPs, 199.19.77.84 und 199.19.77.18, trugen die Anmeldungen. Die Aktivität gilt seit August 2026 als laufend.
Chainstack, OpenCode, Warp und WorkOS haben in den letzten Wochen ähnliche KI-getriebene Eindringlinge gemeldet. WorkOS sagte, der Agent, der die interne Sales-Anwendung kompromittierte, sei aus der Testumgebung eines Forschers entkommen und allein weitergelaufen.
Warum ein Live-Token schlimmer ist als ein Passwort
Ein Passwort ist ein Geheimnis, das ein Mensch kennt. Ein Token ist ein Geheimnis, das ein System vorzeigt, und Systeme zeigen sie ständig vor, in Maschinengeschwindigkeit, aus Rechenzentren, ohne MFA-Prompt und ohne Menschen, der es merkt.
Diese Asymmetrie ist die ganze Lektion. Leakt ein Passwort, muss der Angreifer sich wie ein Mensch anmelden: Es gibt eine Login-Seite, ein Rate Limit, oft einen zweiten Faktor und irgendwann ein gesperrtes Konto. Leakt ein Token, gibt es keine Login-Seite. Es gibt einen API-Call, der genau wie deine CI-Pipeline aussieht.
Und die Ökonomie hat sich gedreht. Googles Threat-Team dokumentierte Kriminelle, die einen Wiederverkaufsmarkt für gestohlenen Zugang zu kommerziellen LLMs aufbauen: "LLM-Mixer", die Requests über kompromittierte Unternehmenskonten proxien und Frontier-Modellzugang mit Rabatt weiterverkaufen, während das Opfer weiterzahlt. Wiz identifizierte zwei solcher Operationen, die mit gestohlenen AWS-Bedrock-Keys zweier verschiedener Organisationen arbeiteten. Die IP 23.106.46.239, die zu einer davon gehört, hostete Mitte Oktober eine Artex-Landingpage.
Die Kosten eines gestohlenen Inference-Keys werden nicht mehr in Datenverlust gemessen. Sie werden in einer sechsstelligen Rechnung gemessen.
Was das heißt, wenn du ein Produkt betreibst
Die unbequeme strukturelle Tatsache: Die Zykluszeit des Angreifers liegt in Minuten, deine Credential-Rotation in Quartalen. Aus dieser Lücke kommst du nicht durch Patchen heraus. Du musst sie verkleinern.
- Inventarisiere jedes Secret, bevor du es schützt. Du kannst ein Token nicht rotieren, von dem du nicht weißt, dass es existiert. Fang mit Service Principals, CI-Secrets und allem an, was in einer .env steht, die nie einen Laptop verlassen hat.
- Hör auf, langlebige Keys auszugeben. Kurze TTLs und Workload Identity Federation schlagen statische Credentials. Ein Key, der in einer Stunde abläuft, lässt sich einen Monat lang nicht in einem Mixer weiterverkaufen.
- Geh davon aus, dass der Reset-Weg auch down ist. Chainalysis konnte Kunden das Passwort nicht zurücksetzen lassen, weil die Plattform offline war. Dein Incident-Runbook braucht einen Out-of-Band-Weg zum Widerrufen von Credentials, der nicht davon abhängt, dass der Dienst gesund ist.
- Auditiere Anomalien, die nur eine Maschine erzeugt. Ein Service Principal, der um 3 Uhr nachts aus einem neuen ASN anmeldet und Key Vault durchzählt, ist kein Nutzer. Wenn in deinem Stack nichts hinsieht und es interessiert, ist der Agent fertig, bevor dein Bereitschaftsdienst aufwacht.
- Behandle Anbieter-Incidents wie deine eigenen. Stell deinen kritischen SaaS-Anbietern bei der nächsten Verlängerung eine Frage: Wie schnell könnt ihr ein Token widerrufen, und wie sagt ihr mir, dass es passiert ist?
Die Kunden-Konsequenz
Die Breach bei Chainalysis ist keine Geschichte über Krypto-Forensik. Es ist eine Geschichte darüber, was passiert, wenn das, was dich angreift, schneller ist als das, was dich schützt, rotieren kann.
Jede Organisation, mit der wir in Dubai arbeiten, hält mehr lebende Credentials als Menschen: Service-Accounts, Integrationskeys, Webhook-Secrets, API-Keys von Modell-Anbietern. Die meisten entstanden für eine Bequemlichkeit, an die sich niemand mehr erinnert. Ein Agent muss nicht brillant sein, um eine zu finden. Er muss nur etwa fünf Minuten geduldig sein.
Die Aufgabe diese Woche ist klein und langweilig, und sie erspart jemandem ein sehr schlechtes Quartal: Zieh deine Token-Liste, finde die ohne Ablaufdatum und gib ihnen eins.
Letzten Monat war es eine Demo von Geschwindigkeit. Diesen Monat ist es ein Produktions-Incident mit abgeschalteter Login-Seite. Die Uhr ist jetzt die Schwachstelle.