La società di analisi blockchain Chainalysis ha confermato un breach informatico che ha esposto informazioni dei clienti dopo che un attaccante esterno ha utilizzato tecniche agentic avanzate per ottenere accesso non autorizzato ai suoi sistemi interni.

L'incidente è stato reso pubblico il 30 ottobre con un comunicato pubblicato sul blog ufficiale della società. Secondo Chainalysis, l'attaccante ha avuto accesso a ID utente, nomi completi, indirizzi email e ruoli organizzativi associati agli account dei clienti. La società ha dichiarato che la propria indagine non ha rilevato prove della compromissione di registri d'indagine sensibili, credenziali di autenticazione o sessioni attive.

Chainalysis ha notificato i clienti coinvolti, ha incaricato specialisti esterni di cybersecurity e ha avviato il rafforzamento della propria infrastruttura di sicurezza. Il numero di utenti e organizzazioni interessate non è stato divulgato.

Il breach è particolarmente significativo considerato il ruolo di Chainalysis nell'indagine sui furti di criptovalute, nel tracciamento delle transazioni illecite e nella fornitura di intelligence blockchain a istituti finanziari e forze di polizia. Poiché tale attività di intelligence dipende da sistemi interni affidabili, l'incidente riguarda non solo i registri clienti esposti, ma lo stesso strato di infrastruttura su cui il settore conta per tracciare i fondi rubati.

Un attacco agentic espone i dati degli account clienti

L'accesso non autorizzato è stato rilevato durante ottobre, con Chainalysis che ha identificato quelle che ha descritto come "tecniche agentic offensive" utilizzate per penetrare i suoi sistemi e strumenti interni. La terminologia suggerisce il coinvolgimento di software automatizzati in grado di eseguire attività articolate in più passaggi, sebbene la società non abbia divulgato quali tecnologie fossero coinvolte né se l'intelligenza artificiale abbia svolto autonomamente una parte dell'attacco.

Gli investigatori hanno accertato che l'attaccante ha avuto accesso a informazioni sugli account dei clienti, tra cui nomi, indirizzi email e identificativi di ruolo. Chainalysis ha definito le informazioni esposte non sensibili, ma ha riconosciuto che le organizzazioni interessate necessitano di ulteriori dettagli.

L'indagine di sicurezza non ha rilevato indizi di compromissione di fascicoli, risultati di analisi delle transazioni, grafi d'indagine, note o query. Anche password in chiaro, segreti di autenticazione multifattore e token di sessione risultano non coinvolti. Queste risultanze restano preliminari mentre proseguono le attività forensi.

Chainalysis non ha identificato l'attaccante, spiegato il punto di accesso iniziale né reso noto per quanto tempo è persistuto l'accesso non autorizzato. La società sta collaborando con esperti esterni di cybersecurity per correggere le vulnerabilità sfruttate e condurre una revisione di sicurezza più ampia. Sta inoltre utilizzando large language model per contribuire a individuare ulteriori punti deboli nella sua infrastruttura — un dettaglio che colloca gli strumenti basati su AI su entrambi i fronti dello stesso episodio, nelle "tecniche agentic offensive" usate per introdersi e nei modelli impiegati per rafforzare le difese.

Le organizzazioni clienti riceveranno valutazioni individuali che dettagliano quali registri degli account sono stati consultati, una volta che l'indagine avrà stabilito l'intera portata dell'esposizione.

Il breach alimenta le crescenti preoccupazioni sulla sicurezza crypto

Sebbene le informazioni compromesse non sembrino includere password o fascicoli d'indagine, l'esposizione delle identità dei dipendenti e dei ruoli organizzativi potrebbe creare occasioni per attacchi di phishing mirati. I criminali potrebbero potenzialmente utilizzare questi dettagli per impersonare contatti fidati, inviare richieste di autenticazione convincenti o prendere di mira dipendenti con accessi privilegiati alle indagini finanziarie.

Chainalysis ha invitato i clienti a prestare attenzione a reimpostazioni di password e richieste di autenticazione inattese, raccomandando al contempo l'autenticazione a due fattori per gli account che non la hanno attiva.

La divulgazione arriva in un periodo eccezionalmente intenso per gli incidenti di sicurezza nel settore crypto. Il 31 ottobre, almeno 12 siti web di criptovalute sono stati presi di mira in una campagna di DNS hijacking legata a StepDrainer, che ha esposto i visitatori a richieste malevole di approvazione di wallet attraverso infrastrutture frontend compromesse. Pochi giorni prima, Polymarket ha subito un attacco di drenaggio di wallet da 2,7 milioni di dollari che coinvolgeva uno script di monitoraggio di terze parti compromesso.

Gli episodi illustrano metodi di attacco diversi, con aggressori che sfruttano l'infrastruttura e l'accesso operativo anziché necessariamente compromettere i protocolli blockchain stessi.

Chainalysis ha anche sottolineato che il proprio breach non è correlato al recente incidente di sicurezza di Binance da 6,3 miliardi di dollari, che ha comportato prelievi non autorizzati di criptovalute e ingenti congelamenti di attivi. Al momento non vi sono prove che colleghino questi attacchi.

Per Chainalysis, la sfida immediata è stabilire l'entità completa dell'esposizione delle informazioni dei clienti, mantenendo al tempo stesso la fiducia nell'integrità dei propri sistemi d'indagine. La società ha promesso ulteriori aggiornamenti, ma l'identità dell'attaccante, il metodo esatto di intrusione e il numero di account coinvolti restano da chiarire. Le valutazioni individuali promesse alle organizzazioni clienti, insieme ai risultati della revisione forense in corso, colmeranno le rimanenti lacune.

Fonte: Crypto Adventure