Chainalysis ha dichiarato che tutti i suoi utenti sono stati coinvolti in un attacco informatico in cui un 'on-path attack' ha esposto un sottoinsieme delle password dei clienti, comprese quelle dei destinatari notificati, secondo un aggiornamento del 4 novembre. La rivelazione ha smentito la valutazione iniziale dell'azienda di analisi blockchain su un incidente che, secondo quanto dichiarato, era iniziato con un attacco il 30 ottobre 2026, quando aveva riferito di non aver trovato prove dell'esposizione di credenziali o token di sessione. Un on-path attack comporta l'intercettazione delle comunicazioni tra un utente e un servizio, una tecnica da tempo descritta come attacco man-in-the-middle.

L'azienda ha affermato che l'attacco era stato contenuto e risolto, e ha imposto agli utenti coinvolti di reimpostare le proprie password. Ha inoltre consigliato ai clienti di ruotare le chiavi API ove opportuno. La violazione ha interrotto l'accesso a prodotti utilizzati da governi, forze dell'ordine e aziende per tracciare le transazioni in criptovalute.

Come si è estesa l'esposizione delle password

Nella notifica del 30 ottobre, Chainalysis aveva descritto l'attacco come "simile a quello di molte altre piattaforme tecnologiche nelle ultime settimane" e aveva dichiarato che l'incidente non era correlato al recente furto di criptovalute coinvolgente Binance. In quella fase, l'azienda aveva affermato che gli attaccanti avevano accesso solo a informazioni utente non sensibili, tra cui ID utente, nomi completi, indirizzi email ed etichette dei ruoli organizzativi.

Chainalysis ha poi dichiarato che gli attaccanti avevano utilizzato "offensive agentic techniques", un termine generalmente usato per descrivere metodi di attacco che impiegano agenti AI autonomi. L'indagine iniziale non aveva trovato prove dell'accesso a contenuti di indagine come grafici, note o casi. L'azienda aveva inoltre affermato di non aver trovato prove di compromissione di risultati di transazioni o query, password in chiaro, segreti di autenticazione a più fattori o token di sessione utente.

Questa valutazione è cambiata il 4 novembre. "Oggi abbiamo confermato che, nell'ambito di questo incidente, un 'on-path attack' ha esposto un sottoinsieme delle password dei clienti, compresa la vostra", ha dichiarato l'azienda in un'email alle parti coinvolte. Chainalysis ha affermato di aver contenuto e risolto il vettore d'attacco, ma non ha indicato nell'account fornito quante password siano state esposte.

Un ripristino cauto dei servizi

Chainalysis ha bloccato l'accesso agli utenti e li ha indirizzati a reimpostare le credenziali tramite la sua pagina di login standard. Ha anche disattivato Reactor, Data Solutions e Chain (Beta) "per eccesso di cautela". Separatamente, l'azienda ha citato attività anomale quando ha disattivato l'interfaccia utente e l'API di KYT (Know Your Transaction), altri prodotti di screening degli indirizzi e la pagina di login.

L'azienda ha dichiarato di aver iniziato il ripristino parziale di KYT e Address Screening, comunicando ai clienti di attendersi il ritorno dell'accesso "nelle prossime ore", procedendo con cautela e monitorando ogni fase. Ai clienti che desideravano un accesso più rapido è stato chiesto di inviare via email un indirizzo IP affidabile e prepararsi a reimpostare le credenziali.

Chainalysis ha dichiarato di lavorare "giorno e notte" per rafforzare i propri sistemi e ripristinare Reactor e Data Solutions. L'azienda ha riconosciuto l'interruzione e ha ringraziato i clienti per la pazienza. L'account non ha fornito una data di completamento per il ripristino di tali servizi.

Perché l'incidente è importante per le indagini crypto

Chainalysis descrive la propria attività come analisi blockchain utilizzata da governi, forze dell'ordine e aziende per tracciare e indagare sulle transazioni in criptovalute. Le forze dell'ordine hanno utilizzato i suoi strumenti per seguire fondi rubati, identificare attività illecite e indagare su crimini legati alle criptovalute.

L'azienda ha affermato che l'incidente è separato dal recente furto di criptovalute coinvolgente Binance, i cui fondi sono stati tracciati separatamente dagli analisti. All'ultimo aggiornamento, nessun attore minaccioso aveva rivendicato la responsabilità e i dati esposti non erano comparsi sul dark web. L'account non ha riportato richieste di estorsione né ha affermato che gli attaccanti abbiano contattato Chainalysis. I prossimi passi dichiarati dall'azienda sono il continuo rafforzamento dei sistemi, un ripristino cauto dei servizi e ulteriori protezioni degli account, tra cui il ripristino delle password e la rotazione delle chiavi API ove opportuno.