Во вторник блокчейн-инфраструктурная компания Chainstack сообщила, что злоумышленник проник в часть её систем через компонент стороннего разработчика. Инцидент связывают с масштабной кампанией атак с применением ИИ, о которой стало известно на предыдущей неделе. «Мы обнаружили вторжение, перекрыли пути доступа и укрепляем наши системы», — заявила компания.
По данным Chainstack, 26 октября 2026 года атакующий получил доступ к среде разработки, а затем расширил привилегии и добрался до некоторых частей производственной инфраструктуры. Вторжение обнаружили 31 октября. В тот же день компания закрыла доступ злоумышленнику.
Атакующий, предположительно, смог обратиться к базе с данными клиентов: названиями организаций, именами владельцев аккаунтов, адресами электронной почты участников организаций и хешами паролей. Он также имел доступ к системам, где хранятся учётные данные узлов. Chainstack заявила, что не обнаружила подтверждений их чтения, но всё равно считает их потенциально скомпрометированными.
Клиентам рекомендовано сменить учётные данные узлов, заново создать ключи API платформы и обновить пароли. Это касается и паролей, повторно использованных на других сервисах. Компания также просит следить за фишинговыми письмами и сообщениями.
Chainstack не раскрыла подробностей атаки. В инциденте усматривают сходство с кампанией связанной с Китаем группы, которая использует ARTEX для атак на крупные компании. ARTEX — тот же автономный фреймворк ИИ-агентов, который фигурирует в недавних сообщениях других организаций.
30 октября 2026 года об инциденте сообщила API-платформа WorkOS. Её системы GTM, отвечающие за продажи и работу с рынком, подверглись атаке с использованием того же фреймворка. Производственные системы и клиентские данные платформы не пострадали.
Из CRM-системы WorkOS могли быть получены имена, рабочие адреса электронной почты, телефоны, должности и названия компаний. Доступ также затронул историю клиентских аккаунтов, сведения о продажах и отношениях с заказчиками, выдержки и краткие пересказы звонков, обращений в поддержку и переписок в Slack. Среди затронутых данных — метаданные об использовании продуктов WorkOS, включая состояние подключений и каталогов.
WorkOS считает, что ИИ-агенты позволяют быстрее разрабатывать адресные сценарии атак и автоматизировать разные этапы вторжения. По оценке компании, это увеличивает темп и масштаб атак, использующих уязвимые приложения и похищенные учётные данные. Поэтому особенно важны быстрое устранение уязвимостей и мониторинг, способный связывать подозрительные действия в разных системах.
На предыдущей неделе о проникновении сообщила и Chainalysis, компания, занимающаяся блокчейн-анализом. Она заявила, что внешний злоумышленник применял «агентные методы наступательной кибербезопасности» для доступа к системам и внутренним инструментам. По состоянию на 2 ноября 2026 года Chainalysis превентивно отключила продукты Reactor и Data Solutions. Компания сообщила, что отслеживает необычную активность и будет предоставлять клиентам новые сведения, необходимые для решений о работе бизнеса.
Ещё одной организацией, которую связывают с ARTEX, стал Нидерландский институт раскрытия уязвимостей (Dutch Institute for Vulnerability Disclosure, DIVD). 21 сентября 2026 года злоумышленники воспользовались двумя уязвимостями нулевого дня в открытой системе обработки обращений Zammad: CVE-2026-102489 и CVE-2026-102490. Эти ошибки позволяли повышать привилегии, удалённо выполнять код и похищать данные.
Изображение носит иллюстративный характер
По данным Chainstack, 26 октября 2026 года атакующий получил доступ к среде разработки, а затем расширил привилегии и добрался до некоторых частей производственной инфраструктуры. Вторжение обнаружили 31 октября. В тот же день компания закрыла доступ злоумышленнику.
Атакующий, предположительно, смог обратиться к базе с данными клиентов: названиями организаций, именами владельцев аккаунтов, адресами электронной почты участников организаций и хешами паролей. Он также имел доступ к системам, где хранятся учётные данные узлов. Chainstack заявила, что не обнаружила подтверждений их чтения, но всё равно считает их потенциально скомпрометированными.
Клиентам рекомендовано сменить учётные данные узлов, заново создать ключи API платформы и обновить пароли. Это касается и паролей, повторно использованных на других сервисах. Компания также просит следить за фишинговыми письмами и сообщениями.
Chainstack не раскрыла подробностей атаки. В инциденте усматривают сходство с кампанией связанной с Китаем группы, которая использует ARTEX для атак на крупные компании. ARTEX — тот же автономный фреймворк ИИ-агентов, который фигурирует в недавних сообщениях других организаций.
30 октября 2026 года об инциденте сообщила API-платформа WorkOS. Её системы GTM, отвечающие за продажи и работу с рынком, подверглись атаке с использованием того же фреймворка. Производственные системы и клиентские данные платформы не пострадали.
Из CRM-системы WorkOS могли быть получены имена, рабочие адреса электронной почты, телефоны, должности и названия компаний. Доступ также затронул историю клиентских аккаунтов, сведения о продажах и отношениях с заказчиками, выдержки и краткие пересказы звонков, обращений в поддержку и переписок в Slack. Среди затронутых данных — метаданные об использовании продуктов WorkOS, включая состояние подключений и каталогов.
WorkOS считает, что ИИ-агенты позволяют быстрее разрабатывать адресные сценарии атак и автоматизировать разные этапы вторжения. По оценке компании, это увеличивает темп и масштаб атак, использующих уязвимые приложения и похищенные учётные данные. Поэтому особенно важны быстрое устранение уязвимостей и мониторинг, способный связывать подозрительные действия в разных системах.
На предыдущей неделе о проникновении сообщила и Chainalysis, компания, занимающаяся блокчейн-анализом. Она заявила, что внешний злоумышленник применял «агентные методы наступательной кибербезопасности» для доступа к системам и внутренним инструментам. По состоянию на 2 ноября 2026 года Chainalysis превентивно отключила продукты Reactor и Data Solutions. Компания сообщила, что отслеживает необычную активность и будет предоставлять клиентам новые сведения, необходимые для решений о работе бизнеса.
Ещё одной организацией, которую связывают с ARTEX, стал Нидерландский институт раскрытия уязвимостей (Dutch Institute for Vulnerability Disclosure, DIVD). 21 сентября 2026 года злоумышленники воспользовались двумя уязвимостями нулевого дня в открытой системе обработки обращений Zammad: CVE-2026-102489 и CVE-2026-102490. Эти ошибки позволяли повышать привилегии, удалённо выполнять код и похищать данные.
