Chainalysis a révélé que des pirates ont obtenu l'accès aux noms, identifiants, hachages de mots de passe et jetons actifs de tous les utilisateurs de sa plateforme. Les hachages de mots de passe sont des versions brouillées à sens unique des mots de passe plutôt que les mots de passe eux-mêmes, tandis que les jetons actifs sont des identifiants de session en cours d'utilisation qui peuvent accorder l'accès à un compte sans saisie de mot de passe. La société d'analyse blockchain avait indiqué dans un avis officiel relatif à l'incident de sécurité publié le 30 octobre qu'elle n'avait aucune preuve que les identifiants avaient été compromis.

L'entreprise a détecté l'exposition lundi et a mis hors ligne ses produits Reactor et Data Solutions pendant son enquête. Elle a déclaré toujours n'avoir aucune preuve que des données d'enquête aient été consultées ou que ses données d'attribution aient été manipulées.

Des jetons actifs divulgués après qu'une première annonce avait écarté la compromission des identifiants

En octobre, un acteur externe a utilisé des « techniques agentiques offensives », une expression désignant des méthodes d'attaque menées par des agents d'IA, pour accéder aux systèmes et outils internes de Chainalysis, obtenant des identifiants utilisateurs, des noms complets, des adresses e-mail et des libellés de rôles organisationnels. L'annonce du 30 octobre n'avait trouvé « aucune preuve d'accès non autorisé au contenu d'enquête, aux identifiants d'authentification ou aux jetons de session », et un e-mail joint destiné aux clients écartait également tout accès aux mots de passe en clair et aux secrets MFA.

Le logiciel de Chainalysis est utilisé par la police, les agences gouvernementales, les plateformes d'échange et les banques pour suivre l'activité crypto et lutter contre la fraude, les ransomwares et le blanchiment d'argent.

KYT et page de connexion mis hors ligne après une activité anormale

Le lundi 2 novembre, Chainalysis a mis Reactor et Data Solutions hors ligne et a fait appel à des experts externes en cybersécurité pour aider à la réponse. Son outil de surveillance des transactions de conformité KYT, sur lequel les clients comptent pour détecter le blanchiment d'argent, était resté en ligne à ce stade.

Le 4 novembre, l'entreprise a envoyé un e-mail à certains clients pour les informer que certains de leurs mots de passe avaient été exposés lors d'une « attaque de l'homme du milieu », dans laquelle un attaquant intercepte le trafic entre un utilisateur et le service auquel il se connecte. Elle a verrouillé les comptes concernés et a demandé aux utilisateurs de réinitialiser leurs mots de passe sur la page de connexion habituelle, les avertissant de ne cliquer sur aucun lien dans des e-mails prétendant qu'une réinitialisation de mot de passe était nécessaire.

Plus tard dans la journée, Chainalysis a signalé une activité anormale. Elle a mis KYT hors ligne, y compris l'interface utilisateur et l'API, ainsi que d'autres produits de screening d'adresses et sa page de connexion. Reactor, Data Solutions et Chain (Beta) restaient indisponibles. Les clients dont les comptes KYT semblent avoir été consultés sans autorisation sont directement notifiés.

Jeudi, Chainalysis commencera à remettre KYT et Address Screening en ligne. Pour enregistrer à nouveau des transactions, les clients doivent d'abord ajouter des adresses IP de confiance à une liste d'autorisation limitant l'accès aux adresses réseau approuvées, puis réinitialiser leurs mots de passe et renouveler leurs clés API. Tous les utilisateurs devront modifier leurs mots de passe et clés API une fois Reactor et Data Solutions de nouveau en ligne. Dans le cadre d'une revue plus large de la sécurité de sa plateforme, l'entreprise utilise des grands modèles de langage.

Cryptopolitan a rapporté que des groupes de pirates liés à la Chine ont adopté ARTEX, un framework de tests d'intrusion par IA développé en Chine.

Chainalysis indique que la violation n'est pas liée au vol d'environ 6,3 milliards de dollars chez Binance, le plus important piratage crypto jamais enregistré. Binance a déclaré qu'un ordinateur portable compromis appartenant à un ingénieur DevOps avait été lié à ce vol.

Dans une publication sur X le 30 octobre, Chainalysis a indiqué que les piratages suspectés d'être liés à la Corée du Nord représentaient près de 89 % de toutes les pertes dues aux piratages crypto signalées cette année, contre une part de 15 % en 2021.

La société d'analyse blockchain a conseillé à ses clients d'activer l'authentification à deux facteurs et de rester vigilants face aux demandes de réinitialisation de mot de passe non sollicitées.