Chainalysis-Datenleck: Live-Tokens aller Nutzer offengelegt – was Teams mit Compliance-APIs jetzt tun sollten

YuSMP Group Editorial Team Redaktionsteam, YuSMP Group

Kurzfassung

Was hat Chainalysis offengelegt?

Am 30. Oktober teilte Chainalysis erstmals mit, dass ein externer Akteur mit KI-agentengestützten Angriffstechniken in seine Systeme und internen Tools eingedrungen war. Damals bezeichnete das Unternehmen die betroffenen Daten als „nicht sensibel“: Nutzer-IDs, vollständige Namen, E-Mail-Adressen und Rollenbezeichnungen in Organisationen – ohne Hinweise auf gestohlene Passwörter, MFA-Geheimnisse oder Session-Tokens.

Am 4. November änderte sich das Bild. In einem Update am Morgen erklärte Chainalysis, ein „On-Path-Angriff“, auch Adversary-in-the-Middle genannt, habe einen Teil der Kundenpasswörter offengelegt; betroffene Konten wurden gesperrt. Am späten Abend ergänzte das Unternehmen, eine Untersuchung am Montag, dem 2. November, habe ergeben, dass Namen, Benutzernamen, Passwort-Hashes und Live-Tokens aller Chainalysis-Nutzer offengelegt wurden. Nach auffälligen Aktivitäten nahm es die KYT-Oberfläche und -API, die Address-Screening-Produkte und die Login-Seite vom Netz und begann, Kunden zu informieren, deren KYT-Konten offenbar unbefugt genutzt worden waren.

Warum betrifft das mehr als nur Chainalysis?

Chainalysis steckt in den Compliance-Stacks anderer Unternehmen. Börsen, Banken und Zahlungsdienstleister rufen die KYT-API auf, um Krypto-Transaktionen auf Verbindungen zu Sanktionen, Betrug oder Geldwäsche zu prüfen. Öffentliche Quellen nennen laut Ars Technica Behörden wie das FBI, die US-Einwanderungsbehörde ICE und die US Air Force sowie Unternehmen wie Microsoft, Coinbase und Barclays als Nutzer. Als die API ausfiel, verloren Kunden mit automatisiertem Transaktions-Screening diese Kontrolle, bis der Zugang zurückkam.

Zwei Fragen sind offen. Chainalysis hat nicht gesagt, wo die On-Path-Kompromittierung stattfand und ob der abgefangene Verkehr verschlüsselt war, und die eingesetzten KI-Agenten nicht beschrieben. Nach eigenen Angaben gibt es keine Hinweise darauf, dass auf Ermittlungsdaten zugegriffen oder Attributionsdaten manipuliert wurden.

Was bedeutet das für Softwareteams in den USA und der EU?

Die praktische Lehre: Ein Compliance-Anbieter ist zugleich Inhaber von Zugangsdaten und ein Single Point of Failure. Jeder API-Key und jedes Token, das Sie an eine Drittanbieter-Integration ausgegeben haben, gilt als kompromittiert, sobald der Anbieter einen Vorfall meldet – nicht erst, wenn er zur Rotation auffordert. Teams, die Anbieter-Keys in einem Secrets-Manager mit klarer Verantwortung und getesteter Rotation halten, tauschen sie in Minuten; Teams mit hartkodierten Keys in Services oder CI-Variablen suchen tagelang.

Genauso wichtig ist der Umgang mit Ausfällen. Wenn Ihr Onboarding- oder Auszahlungsprozess auf einen Screening-Aufruf wartet, legen Sie vorab fest, was passiert, wenn der Anbieter nicht erreichbar ist: Transaktion in eine Warteschlange stellen, an die manuelle Prüfung geben oder sicher ablehnen (Fail-Closed). Aufsichtsbehörden erwarten durchgehendes Screening, „Prüfung überspringen“ ist also keine Option. In der EU unterliegen nach MiCAR zugelassene Kryptowerte-Dienstleister auch DORA, das ein dokumentiertes Management von IKT-Drittparteienrisiken und Exit-Pläne für kritische Anbieter verlangt. US-Unternehmen haben ähnliche Erwartungen von Partnerbanken und Prüfern.

Der Vorfall ist zudem ein weiterer Beleg für KI-gestützte Angriffe auf SaaS-Plattformen. Alarme bei ungewöhnlicher API-Nutzung pro Key – neue Quell-IPs, untypische Uhrzeiten, plötzliche Lastspitzen – sind der günstigste Weg zu bemerken, dass ein gestohlenes Anbieter-Token gegen Sie eingesetzt wird.

Was bedeutet das für den DACH-Markt?

In Deutschland beaufsichtigt die BaFin Kryptowerte-Dienstleister nach MiCAR; seit dem 17. Januar 2025 gilt für sie zusätzlich DORA. Ein Screening-Anbieter wie Chainalysis gehört damit in das DORA-Informationsregister der IKT-Drittdienstleister, und für ihn sollten eine Exit-Strategie und ein getesteter Notfallprozess existieren. Die Sorgfaltspflichten nach dem Geldwäschegesetz (GwG) laufen auch während eines Ausfalls weiter: Fällt das automatische Screening aus, bleibt nur manuelle Prüfung oder das Anhalten der Transaktion.

Weil Namen und Benutzernamen Ihrer eigenen Mitarbeitenden betroffen sind, sollte das Datenschutzteam außerdem prüfen, ob eine Meldung nach Art. 33 DSGVO nötig ist. In Österreich ist die FMA die zuständige Aufsicht; in der Schweiz, die nicht unter DORA fällt, erwartet die FINMA von Banken mit dem Rundschreiben 2023/1 ein Management operationeller Risiken und Resilienz, das auch kritische Drittanbieter abdeckt.

Was sollten Teams, die Compliance-APIs nutzen, jetzt tun?

1. Sofort rotieren. Wenn Sie Chainalysis nutzen, rotieren Sie API-Keys und setzen Sie Passwörter zurück, sobald der Zugang wiederhergestellt ist, und ändern Sie wiederverwendete Passwörter in anderen Diensten.
2. Anbieter-Zugangsdaten inventarisieren. Erfassen Sie jeden Drittanbieter-Key: wo er liegt, wem er gehört und wie lange die Rotation dauert.
3. Einschränken und verkürzen. Nutzen Sie IP-Allowlists, minimale Berechtigungen und kurzlebige Tokens, wo der Anbieter das unterstützt.
4. Für Anbieter-Ausfälle planen. Definieren und testen Sie Warteschlange, manuelle Prüfung oder Fail-Closed für Screening-Aufrufe.
5. Nutzung pro Key überwachen. Alarme bei neuen IPs, Lastspitzen und Aufrufen außerhalb der üblichen Zeiten.
6. Verträge prüfen. Klären Sie Meldefristen bei Vorfällen und Exit-Optionen mit kritischen Anbietern, wie DORA es von betroffenen EU-Unternehmen verlangt – und tragen Sie sie ins Informationsregister ein.

Häufig gestellte Fragen

Quellen

Chainalysis — Security incident update (Primärquelle, aktualisiert am 6. November 2026)
Ars Technica — Chainalysis says hackers stole credentials and tokens for all of its customers (6. November 2026)
BleepingComputer — Chainalysis says breach exposed credentials for all customers (6. November 2026)