Chainalysis a déclaré que l'ensemble de ses utilisateurs avaient été touchés par une cyberattaque au cours de laquelle une « attaque sur le chemin » a exposé une partie des mots de passe des clients, y compris ceux des destinataires qu'elle a notifiés, selon une mise à jour du 4 novembre. Cette révélation a infirmé l'évaluation initiale de la société d'analyse blockchain concernant un incident qui, selon elle, a commencé par une attaque le 30 octobre 2026, date à laquelle elle avait indiqué n'avoir trouvé aucune preuve que des informations d'identification ou des jetons de session avaient été exposés. Une attaque sur le chemin consiste pour un attaquant à intercepter les communications entre un utilisateur et un service, une technique longtemps décrite comme une attaque de l'homme du milieu.

La société a déclaré que l'attaque avait été contenue et corrigée, et elle a exigé que les utilisateurs concernés réinitialisent leurs mots de passe. Elle a également conseillé aux clients de faire tourner les clés API le cas échéant. Cette violation a perturbé l'accès aux produits utilisés par les gouvernements, les forces de l'ordre et les entreprises pour suivre les transactions en crypto-monnaies.

Comment l'exposition des mots de passe s'est étendue

Dans sa notification du 30 octobre, Chainalysis avait décrit l'attaque comme « similaire à celle de nombreuses autres plateformes technologiques ces dernières semaines » et avait précisé que l'incident n'était pas lié au récent vol de crypto-monnaies impliquant Binance. À ce stade, la société avait indiqué que les attaquants n'avaient accédé qu'à des informations utilisateur non sensibles, notamment des identifiants utilisateur, des noms complets, des adresses e-mail et des libellés de rôle au sein des organisations.

Chainalysis a ensuite indiqué que les attaquants avaient utilisé des « techniques agentiques offensives », un terme généralement employé pour décrire des méthodes d'attaque faisant appel à des agents d'IA autonomes. Son enquête initiale n'avait trouvé aucune preuve que du contenu d'investigation tel que des graphiques, des notes ou des dossiers avait été consulté. La société avait également déclaré n'avoir trouvé aucune preuve de compromission de résultats de transactions ou de requêtes, de mots de passe en clair, de secrets d'authentification multifacteur ou de jetons de session utilisateur.

Cette évaluation a changé le 4 novembre. « Aujourd'hui, nous avons confirmé que, dans le cadre de cet incident, une “attaque sur le chemin” a exposé une partie des mots de passe des clients, y compris le vôtre », a déclaré la société dans un e-mail aux parties concernées. Chainalysis a indiqué avoir contenu et corrigé le vecteur d'attaque, sans préciser dans le compte rendu fourni combien de mots de passe avaient été exposés.

Une restauration prudente des services

Chainalysis a bloqué l'accès des utilisateurs et leur a demandé de réinitialiser leurs informations d'identification via sa page de connexion standard. Elle a également mis hors ligne Reactor, Data Solutions et Chain (Bêta) « par précaution ». Par ailleurs, la société a invoqué une activité anormale pour retirer l'interface utilisateur et l'API KYT (Know Your Transaction), d'autres produits de filtrage d'adresses et la page de connexion.

La société a déclaré avoir commencé à restaurer partiellement KYT et Address Screening, indiquant aux clients de s'attendre à un rétablissement de l'accès « au cours des prochaines heures », tout en procédant avec prudence et en surveillant chaque étape. Les clients souhaitant un accès plus rapide étaient invités à communiquer une adresse IP de confiance par e-mail et à se préparer à réinitialiser leurs informations d'identification.

Chainalysis a déclaré travailler « jour et nuit » pour renforcer ses systèmes et restaurer Reactor et Data Solutions. La société a reconnu la perturbation et remercié les clients de leur patience. Le compte rendu ne fournissait pas de date d'achèvement pour la restauration de ces services.

Pourquoi cet incident est important pour les enquêtes crypto

Chainalysis décrit son activité comme une analyse blockchain utilisée par les gouvernements, les forces de l'ordre et les entreprises pour suivre et enquêter sur les transactions en crypto-monnaies. La police a utilisé ses outils pour retracer des fonds volés, identifier des activités illicites et enquêter sur des crimes liés aux crypto-monnaies.

La société a précisé que cet incident est distinct du récent vol de crypto-monnaies impliquant Binance, dont les fonds font l'objet d'un traçage distinct par les analystes. Au moment de la dernière mise à jour, aucun acteur malveillant n'avait revendiqué la responsabilité de l'attaque et les données exposées n'étaient pas apparues sur le dark web. Le compte rendu ne faisait pas état d'une demande de racket et n'indiquait pas que des attaquants avaient contacté Chainalysis. Les prochaines étapes annoncées par la société sont la poursuite du renforcement des systèmes, une restauration prudente des services et des protections de compte supplémentaires, notamment des réinitialisations de mots de passe et une rotation des clés API le cas échéant.