Chainstack ترصد الاختراق في 31 أكتوبر وتربطه بحملة أوسع مدعومة بالذكاء الاصطناعي
الحقائق الرئيسية
قالت Chainstack إن اختراقاً أصاب جزءاً من بنيتها التحتية كان مرتبطاً بحملة هجوم أوسع مدعومة بالذكاء الاصطناعي، وإنها اكتشفت التسلل في 31 أكتوبر 2026 وقطعت مسارات الوصول في اليوم نفسه. وأوضحت الشركة أن المهاجم دخل عبر مكوّن تابع لطرف ثالث، ثم وصل إلى أجزاء من بيئة الإنتاج. وانتهى تحقيق Chainstack وأُغلق الحادث في 2 نوفمبر 2026. وقالت في بيانها: «تشير نتائجنا إلى أن هذا الحادث كان جزءاً من حملة هجوم أوسع مدعومة بالذكاء الاصطناعي أُبلغ عنها في أواخر أكتوبر». ويضع ذلك اختراق المنصة ضمن موجة أوسع من النشاط المرتبط بأدوات الذكاء الاصطناعي، من دون أن تحدد الشركة الجهة التي نفذته.
وبحسب التسلسل الزمني الذي نشرته الشركة، بدأ الوصول في 26 أكتوبر ببيئة تطوير، قبل أن يمتد في 29 أكتوبر إلى أجزاء من بيئة الإنتاج. وفي 31 أكتوبر رصدت Chainstack الاختراق وأغلقت مسارات الدخول، ثم أنهت التحقيق بعد يومين. وقالت الشركة إن خدماتها المقدمة للعملاء واصلت العمل بصورة طبيعية طوال فترة الحادث. كما ذكرت أن عقد العملاء ووحدة التحكم وواجهة API لم تُعدّل. وتفصل هذه النقاط بين الوصول إلى أنظمة المنصة وبين تغيير خدمات العملاء أو واجهاتها، وهي أمور قالت Chainstack إنها لم تحدث.
قد تشمل المعلومات التي ربما كُشفت أسماء المؤسسات وأصحاب الحسابات، وعناوين البريد الإلكتروني لأعضاء المؤسسات المسجلين لدى Chainstack، وبصمات كلمات المرور. وقالت الشركة إن المهاجم وصل أيضاً إلى أنظمة تحتفظ ببيانات اعتماد العقد، وهي معلومات تستخدمها المؤسسات للاتصال بالعقد التي تشغلها عبر المنصة. لكنها قالت إنها لا تملك دليلاً على أن المهاجم قرأ تلك البيانات، مع أنها تتعامل معها على أنها مكشوفة. وكتبت: «ليس لدينا دليل على أنها قُرئت، لكننا نتعامل معها على أنها مكشوفة ونطلب من العملاء تدويرها». لذلك طلبت الشركة من العملاء تغيير كلمات المرور وتدوير بيانات اعتماد العقد وإعادة إصدار مفاتيح API الخاصة بالمنصة إذا كانوا يستخدمونها.
وتضمنت التفاصيل الفنية المنشورة أن نقطة الدخول الأولية كانت نسخة اختبار من Grafana في مجموعة تطوير. وكانت النسخة قد نُشرت في يوليو، ومتاحة عبر الإنترنت من دون طبقة حماية إضافية مثل تسجيل الدخول الموحد أو المصادقة الأساسية، فيما لم تكن بيانات المشرف الافتراضية قد غُيّرت. وقالت Chainstack إن المهاجم استخدم ARTEX، وهو إطار مفتوح المصدر ينسق وكلاء نماذج اللغة لأتمتة عمليات التسلل. وأضافت أنها لم تجد دليلاً على استغلال ثغرة برمجية، وعزت الاختراق إلى جمع بيانات اعتماد افتراضية وصلاحيات واسعة ووظائف إدارية مكشوفة. وأتاحت الشركة للعملاء تدوير بيانات اعتماد العقد ذاتياً من وحدة التحكم، وقالت: «أجروا تدويراً لبيانات اعتماد العقد؛ أصبح التدوير الذاتي متاحاً الآن في وحدة التحكم».
ولم تنسب Chainstack الاختراق إلى جهة بعينها، رغم ربطها الحادث بالحملة الأوسع عبر أداة ARTEX ومؤشرات التسمية وبعض الأساليب المشتركة. وقالت إن ورود تقارير علنية عن استخدام الإطار من مجموعات مختلفة لا يحدد هوية منفذي هذا التسلل ولا يثبت أن المشغلين أنفسهم نفذوا حوادث أخرى. وفي سياق منفصل، قالت CrowdStrike إن حملة استهدفت مؤسسات مالية في كوريا الجنوبية من أواخر سبتمبر إلى أوائل أكتوبر 2026 أدت إلى إخراج بيانات، من دون تسمية الجهة التي تقف وراءها. وقدّرت CrowdStrike بدرجة ثقة متوسطة أن منفذي ذلك النشاط ناطقون بالصينية ومدفوعون مالياً، مع تأكيدها عدم نسبته إلى خصم محدد. وقالت Chainstack أيضاً إنها لا تخزن تفاصيل وسائل الدفع مثل أرقام البطاقات الكاملة أو رموز الأمان، ولذلك لم تُكشف هذه البيانات في الحادث.