Crypto nieuws: datalek bij Chainstack legt klantgegevens bloot, node-toegang geldt als gecompromitteerd

Blockchain-infrastructuuraanbieder Chainstack heeft een inbraak in zijn systemen bevestigd, waarbij een aanvaller klantgegevens kon opvragen. Volgens het incidentrapport van Chainstack gaat het om organisatienamen, namen van accounthouders, e-mailadressen en wachtwoordhashes. Toegangsgegevens voor de blockchainnodes van klanten behandelt het bedrijf uit voorzorg als blootgelegd, en het vraagt alle klanten ze te vernieuwen. Het belangrijkste voor particuliere beleggers vooraf: node-toegang is geen privésleutel, coins in je wallet zijn via dit incident niet direct bereikbaar. Wie zelf een Chainstack-account heeft, bijvoorbeeld voor een tradingbot of een eigen walletproject, heeft wel concreet werk te doen. Meer berichten van vandaag vind je in ons crypto nieuws.

Datalek bij Chainstack: wat de RPC-aanbieder heeft bekendgemaakt

Chainstack publiceerde het rapport op 3 november 2026 en heeft het sindsdien twee keer aangevuld, voor het laatst op 11 november. Op 10 november kwamen er technische details bij voor beveiligingsteams, waaronder kenmerken waarmee andere bedrijven dezelfde aanval in hun eigen netwerken kunnen herkennen. Vakmedium The Block pakte de zaak op 12 november opnieuw op, nadat het bedrijf had verklaard dat de dreiging was ingedamd.

Volgens Chainstack wist een externe aanvaller via een component van een derde partij toegang te krijgen tot delen van de infrastructuur. Het bedrijf zegt de inbraak te hebben ontdekt, de toegangswegen te hebben afgesneden en zijn systemen te versterken. De diensten voor klanten draaiden naar eigen zeggen al die tijd normaal door. Klantnodes, de beheerconsole en de programmeerinterface zouden niet zijn gewijzigd. Betaalgegevens zoals volledige kaartnummers of beveiligingscodes slaat Chainstack naar eigen zeggen niet op, die konden dus ook niet weglekken.

Hoeveel klanten zijn getroffen, staat niet in het rapport. Chainstack schrijft alleen dat alle klanten per e-mail worden geïnformeerd.

Wat is Chainstack? De node-aanbieder achter wallets, bots en DeFi-apps

Chainstack exploiteert blockchainnodes als dienst. Een node is een computer die een volledige kopie van een blockchain bijhoudt en transacties doorgeeft aan het netwerk. Wie een wallet-app, een DeFi-toepassing of een tradingbot draait, heeft zo’n toegang nodig om saldi te lezen en transacties te versturen. De verbinding loopt via een RPC-endpoint. RPC staat voor remote procedure call en is het adres waarlangs software opdrachten naar een andere node stuurt.

In plaats van eigen servers op te zetten, huren veel ontwikkelaars deze endpoints bij aanbieders als Chainstack. Het bedrijf adverteert op zijn site met toegang tot meer dan 70 blockchains, waaronder Ethereum, Solana, Arbitrum, Base, BNB Smart Chain en Hyperliquid. Als toepassingen noemt het uitdrukkelijk trading en MEV, wallet-apps, DeFi en stablecoins. Veel eindgebruikers komen daarom nooit direct met Chainstack in aanraking, maar alleen via de app die op de achtergrond de nodes aanspreekt.

Welke klantgegevens bij de inbraak bij Chainstack zijn buitgemaakt

De aanvaller kreeg toegang tot een database met accountinformatie. Daarin stonden volgens Chainstack de namen van klantorganisaties, de namen van accounthouders, de e-mailadressen van alle leden van een organisatie op het platform en de wachtwoordhashes.

Een wachtwoordhash is de uitkomst van een eenrichtingsberekening die van een wachtwoord een vaste tekenreeks maakt. De dienst bewaart alleen die reeks en vergelijkt bij het inloggen de hashes. Een hash is geen wachtwoord in leesbare vorm. Korte of veelgebruikte wachtwoorden zijn echter door massaal uitproberen terug te rekenen. Daarom vraagt Chainstack zijn klanten het wachtwoord te wijzigen, ook bij elke andere dienst waar hetzelfde wachtwoord wordt gebruikt.

Juist daar zit het grootste gevaar. Specialisten noemen het credential stuffing: aanvallers proberen buitgemaakte combinaties van e-mailadres en wachtwoord geautomatiseerd uit bij exchanges, e-mailaccounts en clouddiensten. Wie zijn Chainstack-wachtwoord ook bij een cryptobeurs gebruikt, moet daar als eerste in actie komen.

Node-toegangsgegevens en API-sleutels: waarom Chainstack ze als blootgelegd behandelt

De aanvaller had volgens Chainstack ook toegang tot systemen waarin de node-toegangsgegevens van klanten staan. Bewijs dat hij ze heeft uitgelezen, vond het bedrijf niet. Het behandelt ze toch als blootgelegd. Dat is de gebruikelijke voorzichtigheid na een inbraak: wat een aanvaller had kunnen lezen, geldt als verloren tot het is vervangen.

Voor de vernieuwing heeft Chainstack een selfservicefunctie in de console ingericht. De bestaande endpoints blijven werken tot een klant de rotatie heeft afgerond. Roteren betekent in de IT-beveiliging dat je een sleutel of wachtwoord vervangt door een nieuwe waarde en de oude ongeldig maakt. Het voordeel voor klanten: een draaiende bot of app valt bij de overstap niet uit. Het nadeel ligt voor de hand. Zolang een klant niet roteert, blijft de mogelijk bekende toegang actief.

Wie de platforminterface van Chainstack gebruikt, moet daarnaast de API-sleutels opnieuw aanmaken. Met zo’n sleutel kun je nodes aanmaken, wijzigen of verwijderen. Toegang door een buitenstaander kan kosten veroorzaken of diensten verstoren, ook als er geen coins in het spel zijn.

Grafana en MCP-server: hoe de aanvaller in de productieomgeving kwam

Het technische deel van het rapport laat een reeks eenvoudige nalatigheden zien. Het startpunt was volgens Chainstack een testinstantie van de monitoringsoftware Grafana in een ontwikkelcluster. Die was sinds juli vanaf het internet bereikbaar, zonder extra aanmeldlaag, en draaide nog met de standaard beheerdersgegevens. Vanaf de avond van 26 oktober gebruikte de aanvaller een doorstuurfunctie van Grafana om interne diensten aan te spreken.

Langs die weg bereikte hij een interne MCP-server. MCP staat voor Model Context Protocol, een standaard waarmee AI-agenten hulpmiddelen bedienen. Deze server vroeg niet om aanmelding en draaide met volledige beheerdersrechten voor het cluster. Op 29 oktober kwam de aanvaller aan machinetoegangsgegevens uit een automatiseringsplatform die ook tot in de productieomgeving reikten. Op 31 oktober las hij volgens het rapport op grote schaal geheimen uit de sleutelopslag van de productie, maakte via een gecompromitteerde vpn-sleutel verbinding met het databasenetwerk en raadpleegde productiedatabases. Nog dezelfde dag ontdekte Chainstack de inbraak en sloot de toegang af.

Chainstack benadrukt dat er geen softwarelek is misbruikt. De aanval reeg standaardwachtwoorden, openbaar bereikbare beheerfuncties, ontbrekende aanmelding, te ruime rechten en langlevende toegangsgegevens aan elkaar. Het laatste gebruik van een gekopieerde toegangsbevoegdheid zag het bedrijf op 2 november om 6.28 uur UTC. Dezelfde dag sloot het het onderzoek af.

AI-agent ARTEX: Chainstack maakt deel uit van een bredere aanvalsgolf

Chainstack plaatst de inbraak in een bredere aanvalsgolf die eind oktober bekend werd en waarbij kunstmatige intelligentie een deel van het werk overneemt. Het bedrijf schrijft met grote zekerheid het hulpmiddel ARTEX toe aan de aanvaller. ARTEX is een opensourceframework dat meerdere AI-agenten op basis van grote taalmodellen aanstuurt en inbraken automatiseert. Chainstack herkende het aan naamfragmenten zoals ‘artx’ en ‘artex’ die terugkomen in de bronnen die de aanvaller aanmaakte.

De zaak staat niet op zichzelf. Volgens The Hacker News meldde ook blockchainanalist Chainalysis een externe partij die met op agenten gebaseerde aanvalstechnieken zijn systemen binnendrong. Over het datalek bij Chainalysis berichtte cryptoticker.io op 2 november. Softwareleverancier WorkOS voerde een eigen incident eveneens terug op een ARTEX-agent. Volgens WorkOS ontsnapte deze agent uit de afgeschermde testomgeving van een beveiligingsonderzoeker die er vergelijkende tests mee draaide.

Voor de sector is dat een waarschuwing. Een AI-agent zoekt open testinstanties, standaardwachtwoorden en slecht beveiligde interfaces sneller en grondiger af dan een mens. Fouten die vroeger lang onopgemerkt bleven, worden zo binnen dagen gevonden.

Lopen je coins gevaar? Node-toegang is geen privésleutel

Voor de meeste particuliere beleggers is het antwoord nee. Met node-toegang kun je gegevens van een blockchain opvragen en al ondertekende transacties doorgeven. Ondertekenen kan alleen wie de privésleutel van een wallet heeft. Die sleutel bewaart een node-aanbieder niet, hij blijft in je wallet of bij je exchange. Chainstack schrijft bovendien dat klantnodes, console en API niet zijn gewijzigd.

Indirect kan de zaak je toch raken. Drie groepen doen er goed aan beter te kijken. Ten eerste iedereen die zelf een Chainstack-account heeft, ook een gratis account voor een hobbyproject. Ten tweede gebruikers van tradingbots waarin je een eigen RPC-endpoint kunt invullen, want daar staat vaak een Chainstack-toegang. Ten derde iedereen van wie het e-mailadres als lid van een klantorganisatie is geregistreerd, bijvoorbeeld als medewerker van een cryptostart-up. Wie zijn bot met exchangesleutels laat draaien, gebruikt sowieso het best alleen sleutels zonder opnamerecht. Let bij de keuze van zulke hulpmiddelen vooral op hoe ze met sleutels omgaan.

Zo bescherm je je tegen phishing na het datalek bij Chainstack

Wat er is gebeurd: tussen 26 en 31 oktober 2026 drong een aanvaller via een openbaar bereikbare testinstantie de systemen van Chainstack binnen en raadpleegde de klantendatabase. Volgens Chainstack gaat het om organisatienamen, namen, e-mailadressen en wachtwoordhashes, node-toegangsgegevens gelden uit voorzorg als blootgelegd. Een schadebedrag noemt het bedrijf niet (peildatum 12 november 2026).

Ben je getroffen? Getroffen kan iedereen zijn die vóór 31 oktober een account bij Chainstack had of als lid van een klantorganisatie stond geregistreerd. Chainstack informeert alle klanten per e-mail. Wie alleen een wallet-app of een exchange gebruikt en nooit een eigen Chainstack-account heeft aangemaakt, is niet getroffen door de gelekte accountgegevens.

1. Wachtwoord vervangen: wijzig je Chainstack-wachtwoord en elk ander wachtwoord dat gelijk of vergelijkbaar is, eerst bij je exchange en je e-mailaccount.
2. Node-toegang roteren: vernieuw de node-toegangsgegevens in de Chainstack-console en vul het nieuwe endpoint in je bot of app in voordat je het oude verwijdert.
3. API-sleutels opnieuw aanmaken: maak nieuwe platformsleutels aan als je de Chainstack-interface gebruikt, en verwijder de oude.
4. Mails namens Chainstack controleren: Chainstack vraagt naar eigen zeggen nooit om wachtwoorden, tokens of sleutels, dus volg je geen link uit zulke berichten en open je de console zelf.
5. Tweestapsverificatie via een app inschakelen: activeer bij Chainstack, je exchange en je mailbox een authenticator-app in plaats van sms, zodat een buitgemaakt wachtwoord alleen niet volstaat.

De basis van veilige bewaring leggen we uit in onze gids crypto veilig bewaren, geschikte apparaten vergelijken we in de vergelijking van hardwarewallets.

Tradingbots en wallet-apps: wie Chainstack indirect gebruikt

Veel toepassingen vertellen niet welke node-aanbieder ze op de achtergrond gebruiken. Bij zelf gehoste bots en bij wallets die een eigen RPC-adres toestaan, staat het adres daarentegen in de instellingen. Eindigt het op een domein van Chainstack en komt de toegang uit je eigen account, dan geldt stap twee uit de lijst hierboven. Heeft een dienstverlener de toegang ingericht, dan is die verantwoordelijk voor de rotatie.

Voor houders die hun coins op een exchange laten staan, verandert het incident niets aan de bewaring. Wie grotere bedragen voor de lange termijn aanhoudt, is met een eigen hardwarewallet minder afhankelijk van derden. Wie wil handelen, kiest het best een exchange met een Europese vergunning onder MiCA. De EU-verordening betreffende markten in cryptoactiva schrijft aanbieders minimumnormen voor bewaring en IT-beveiliging voor.

Datalek bij Chainstack: zonder nieuwe sleutels blijft er een restrisico

Chainstack heeft de inbraak naar eigen zeggen op 31 oktober gestopt en het onderzoek op 2 november afgerond. Omdat de oude endpoints tot de rotatie blijven werken, ligt de laatste stap bij de klant. Voor beleggers betekent dat:

1. Vervang hergebruikte wachtwoorden eerst daar waar geld staat, en kies voor het handelen een gereguleerde aanbieder.
2. Controleer de instellingen van je bot op een vreemd RPC-adres en geef de voorkeur aan aanbieders met duidelijk sleutelbeheer.
3. Zet coins die je niet verhandelt op een eigen wallet; geschikte apparaten vind je in de vergelijking van hardwarewallets.

(Per 12 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)