Chainalysis reveló que hackers obtuvieron acceso a los nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios de su plataforma. Los hashes de contraseñas son versiones cifradas unidireccionales de las contraseñas, no las contraseñas mismas, mientras que los tokens activos son credenciales de sesión en uso que pueden otorgar acceso a una cuenta sin necesidad de ingresar la contraseña. La firma de análisis de blockchain había declarado en un aviso oficial sobre el incidente de seguridad publicado el 30 de octubre que no tenía evidencia de que las credenciales hubieran sido afectadas.

La empresa detectó la exposición el lunes y desconectó sus productos Reactor y Data Solutions mientras investigaba. Señaló que aún no tiene evidencia de que los datos de investigación hayan sido accedidos o de que sus datos de atribución hayan sido manipulados.

Filtración de tokens activos tras un aviso previo que descartaba el compromiso de credenciales

En octubre, un actor externo utilizó "técnicas agénticas ofensivas", expresión que se refiere a métodos de ataque ejecutados por agentes de IA, para acceder a los sistemas y herramientas internas de Chainalysis, obteniendo identificadores de usuario, nombres completos, direcciones de correo electrónico y etiquetas de roles organizacionales. El aviso del 30 de octubre concluyó que "no hay evidencia de acceso no autorizado a contenido de investigación, credenciales de autenticación o tokens de sesión", y un correo electrónico adjunto dirigido a los clientes también descartó el acceso a contraseñas en texto plano y secretos de MFA.

El software de Chainalysis es utilizado por policías, agencias gubernamentales, exchanges y bancos para rastrear la actividad cripto y perseguir el fraude, el ransomware y el lavado de dinero.

KYT y la página de inicio de sesión desconectados tras actividad anormal

El lunes 2 de noviembre, Chainalysis desconectó Reactor y Data Solutions y contrató a expertos externos en ciberseguridad para ayudar con la respuesta. Su monitoreo de transacciones de cumplimiento KYT, del cual los clientes dependen para detectar lavado de dinero, permaneció en línea en esa etapa.

El 4 de noviembre, la empresa envió correos electrónicos a algunos clientes para informarles que algunas de sus contraseñas habían sido expuestas en un "ataque de intermediario" (on-path), en el cual un atacante intercepta el tráfico entre un usuario y el servicio al que se está conectando. Bloqueó las cuentas afectadas e indicó a los usuarios restablecer sus contraseñas en la página de inicio de sesión habitual, advirtiéndoles no hacer clic en ningún enlace de correos que afirmaran que se requería un restablecimiento de contraseña.

Más tarde ese mismo día, Chainalysis reportó actividad anormal. Desconectó KYT, incluida la interfaz de usuario y la API, junto con otros productos de filtrado de direcciones y su página de inicio de sesión. Reactor, Data Solutions y Chain (Beta) seguían fuera de servicio. Los clientes cuyas cuentas de KYT aparentemente fueron accedidas sin autorización están siendo notificados directamente.

El jueves, Chainalysis comenzará a restablecer KYT y Address Screening en línea. Para volver a registrar transacciones, los clientes primero deben agregar direcciones IP confiables a una lista de permitidos que limita el acceso a direcciones de red aprobadas, y luego restablecer sus contraseñas y rotar sus claves API. Todos los usuarios deberán cambiar sus contraseñas y claves API una vez que Reactor y Data Solutions vuelvan a estar en línea. Como parte de una revisión más amplia de la seguridad de su plataforma, la empresa está utilizando modelos de lenguaje extensos.

Cryptopolitan ha informado que grupos de hackers con vínculos con China han adoptado ARTEX, un marco de pruebas de penetración con IA desarrollado en China.

Chainalysis afirma que la brecha no está relacionada con el robo de ~$6,300 millones en Binance, el mayor hackeo cripto registrado. Binance ha señalado que una computadora portátil comprometida de un ingeniero de DevOps estuvo vinculada a ese robo.

En una publicación en X el 30 de octubre, Chainalysis indicó que los hackeos presuntamente vinculados a Corea del Norte representaron casi el 89% de todas las pérdidas por hackeos cripto reportadas este año, frente a una participación del 15% en 2021.

La empresa de análisis de blockchain ha recomendado a sus clientes activar la autenticación de dos factores y mantenerse alerta ante solicitudes de restablecimiento de contraseña no solicitadas.