Chainstack、顧客に認証情報更新を要請　旧情報は手動無効化まで有効

侵入の入口は、初期管理者認証情報が変更されないままインターネットに公開されていた開発用監視ツールのGrafanaだった。攻撃者はデータソースプロキシを通じて内部サービスに接続し、認証のないModel Context Protocol（MCP）ツールサーバーにも到達した。開発環境の機械認証情報は、本番環境にも接続できる状態だった。Chainstackは、ソフトウェアの脆弱性が悪用された証拠はないと説明している。

同社の報告では、攻撃者は顧客情報を含むデータベースにもアクセスした。組織名、アカウント保有者名、メンバーのメールアドレス、パスワードハッシュが露出した可能性がある。ノード認証情報を保管するシステムにもアクセスされたが、読み取られた証拠はないという。

Chainstackは顧客に、パスワードと使い回した他サービスのパスワードの変更、ノード認証情報のローテーションを要請した。プラットフォームAPIの利用者にはAPIキーの再生成も求めている。顧客向けサービスは事件中も通常稼働し、顧客ノード、コンソール、APIに変更はなかったとしている。

同社側では、攻撃者が複製した一部の外部サービス用認証情報が、侵入経路の遮断後も更新まで使用可能だった。最後の使用は11月2日15時28分（日本時間）に確認された。これはChainstack側の認証情報についての説明で、顧客のノード認証情報が使われたことを示すものではない。