Chainalysis informó que todos sus usuarios fueron afectados por un ciberataque en el que un “ataque on-path” expuso un subconjunto de contraseñas de clientes, incluidas las de los destinatarios a los que notificó, según una actualización del 4 de noviembre. El anuncio revirtió la evaluación inicial de la firma de análisis de blockchain sobre un incidente que, según dijo, comenzó con un ataque el 30 de octubre de 2026, cuando reportó que no había encontrado evidencia de que credenciales o tokens de sesión hubieran sido expuestos. Un ataque on-path consiste en que un atacante intercepta las comunicaciones entre un usuario y un servicio, técnica que desde hace tiempo se describe como un ataque de intermediario (man-in-the-middle).

La compañía dijo que el ataque había sido contenido y remediado, y exigió a los usuarios afectados restablecer sus contraseñas. También recomendó a los clientes rotar las claves de API según corresponda. La violación interrumpió el acceso a productos utilizados por gobiernos, agencias de aplicación de la ley y empresas para rastrear transacciones de criptomonedas.

Cómo se amplió la exposición de contraseñas

En su notificación del 30 de octubre, Chainalysis describió el ataque como “similar al de muchas otras plataformas tecnológicas en las últimas semanas” y dijo que el incidente no estaba relacionado con el reciente robo de criptomonedas que involucra a Binance. En esa etapa, la compañía afirmó que los atacantes habían accedido solo a información de usuarios no sensible, incluidos ID de usuario, nombres completos, direcciones de correo electrónico y etiquetas de roles dentro de las organizaciones.

Chainalysis señaló después que los atacantes habían utilizado “técnicas agénticas ofensivas”, un término que generalmente describe métodos de ataque que emplean agentes de IA autónomos. Su investigación inicial no encontró evidencia de que contenido de investigación, como gráficos, notas o casos, hubiera sido accedido. La compañía también dijo que no había encontrado evidencia de resultados de transacciones o consultas comprometidos, contraseñas en texto claro, secretos de autenticación multifactor o tokens de sesión de usuarios.

Esa evaluación cambió el 4 de noviembre. “Hoy confirmamos que, como parte de este incidente, un ‘ataque on-path’ expuso un subconjunto de contraseñas de clientes, incluida la suya”, indicó la compañía en un correo electrónico a las partes afectadas. Chainalysis dijo que había contenido y remediado el vector de ataque, pero no precisó en el relato proporcionado cuántas contraseñas fueron expuestas.

Los servicios enfrentan una restauración cautelosa

Chainalysis bloqueó el acceso de los usuarios y les indicó restablecer sus credenciales a través de su página de inicio de sesión estándar. También desconectó Reactor, Data Solutions y Chain (Beta) “por precaución”. Por separado, la compañía citó actividad anormal cuando retiró la interfaz de usuario y la API de KYT, otros productos de detección de direcciones y la página de inicio de sesión.

La empresa dijo que había comenzado a restaurar parcialmente KYT y Address Screening, y comunicó a los clientes que el acceso regresaría “en las próximas horas”, mientras avanzaba con cautela y monitoreaba cada fase. Los clientes que buscaban acceso más pronto fueron invitados a enviar por correo electrónico una dirección IP de confianza y a prepararse para restablecer sus credenciales.

Chainalysis dijo que trabajaba “día y noche” para reforzar sus sistemas y restaurar Reactor y Data Solutions. La compañía reconoció la interrupción y agradeció a los clientes su paciencia. El relato no proporcionó una fecha de finalización para la restauración de esos servicios.

Por qué el incidente importa para las investigaciones cripto

Chainalysis describe su trabajo como análisis de blockchain utilizado por gobiernos, agencias de aplicación de la ley y empresas para rastrear e investigar transacciones de criptomonedas. La policía ha utilizado sus herramientas para rastrear fondos robados, identificar actividades ilícitas e investigar delitos relacionados con criptomonedas.

La compañía ha dicho que el incidente es independiente del reciente robo de criptomonedas que involucra a Binance, cuyos fondos los analistas han estado rastreando por separado. Hasta la última actualización, ningún actor de amenaza había reclamado la autoría y los datos expuestos no habían aparecido en la dark web. El relato no reportó ninguna demanda de extorsión ni dijo que los atacantes hubieran contactado a Chainalysis. Los próximos pasos declarados por la compañía son el continuo reforzamiento de sistemas, una restauración cuidadosa de los servicios y protecciones adicionales en las cuentas, incluidos restablecimientos de contraseñas y rotación de claves de API según corresponda.