Chainalysis نفت تسرب session tokens في 30 أكتوبر، ثم أعلنت بعد 5 أيام تعرّض tokens كل المستخدمين
أعلنت شركة Chainalysis في 30 أكتوبر 2026 عن حادث اختراق، وقالت حينها إن البيانات المكشوفة غير حساسة، وإنه لم تتسرب كلمات مرور ولا MFA secrets ولا session tokens. وبعد 5 أيام، قالت الشركة نفسها إن password hashes والـ live tokens لكل المستخدمين قد تعرضت. وجاءت هذه التحولات على صفحة تحديثات الحادث في مدونة الشركة، بتواريخ متتالية.
وتسلسل التحديثات كما نشرته الشركة كالآتي:
- 30 أكتوبر: الإعلان عن الاختراق، مع التأكيد أن البيانات المكشوفة غير حساسة.
- 2 نوفمبر: إيقاف منتجين عن الخدمة احتياطيًا.
- 4 نوفمبر صباحًا: هجوم من نوع on-path كشف جزءًا من كلمات المرور، مع القول إنه جرى احتواؤه.
- 4 نوفمبر مساءً: اكتشاف أن password hashes والـ live tokens لكل المستخدمين تعرضت.
- 6 نوفمبر: مطالبة كل مستخدم بإعادة تعيين كلمة المرور وتدوير الـ API keys.
- 7 نوفمبر: عودة الخدمات مع إجراءات حماية إضافية.
وتقول الشركة إنه لا يوجد حتى الآن دليل على الوصول إلى بيانات التحقيقات نفسها. ولم تذكر الصفحة طريقة التجزئة المستخدمة في حفظ كلمات المرور، ولا نوع الـ tokens بالتحديد. وأكدت BleepingComputer نص البيانات في تغطية مستقلة.
والجانب التقني الأهم في هذه القصة يتعلق بطبيعة الـ token نفسه. فالـ token الفعّال، وهو ما يمنحه النظام للمستخدم بعد تسجيل الدخول أو ما يُصدر للوصول عبر الـ API، يبقى صالحًا حتى ينتهي أجله أو يُبطل صراحة. ولا يتأثر عادة بتغيير كلمة المرور. فمن يحمل token مسروقًا لا يوقفه أن يغير صاحب الحساب كلمة مروره، والذي يوقفه هو إبطال الـ token نفسه. ولهذا فإن أهم ما في تحديث 6 نوفمبر ليس إعادة تعيين كلمات المرور، بل تدوير الـ API keys.
ويمتد هذا الدرس إلى أي منتج رقمي يصدر tokens أو API keys لعملائه، ومنها شركات SaaS والمنصات الناشئة في المنطقة العربية. فقدرة المنتج على إبطال كل الـ tokens دفعة واحدة، وبسرعة، تصبح جزءًا من الاستجابة لأي حادث، لا ميزة إضافية. والمنتج الذي لا يملك هذه القدرة قد يجد أن إعادة تعيين كلمات المرور وحدها لا تقطع وصول المهاجم.
والجانب الثاني يتعلق بقراءة بيانات الحوادث الأمنية. فأول بيان يصدر عن شركة في حادث لا يزال قيد التحقيق يصف ما كانت تعرفه في تلك اللحظة، وليس نتيجة نهائية. والفارق بين البيان الأول والبيان الذي كشف تعرض كل المستخدمين هنا 5 أيام، والجهة التي كتبت البيانين واحدة.