Chainalysis poinformowało, że cyberatak, w którym „atak na ścieżce komunikacji” ujawnił podzbiór haseł klientów — w tym haseł adresatów powiadomienia — objął wszystkich użytkowników firmy, zgodnie z aktualizacją z 4 listopada. To oświadczenie odwołało wstępną ocenę firmy zajmującej się analizą blockchain dotyczącą incydentu, który — jak podano — rozpoczął się atakiem 30 października 2026 roku, kiedy to firma informowała, że nie znalazła dowodów na ujawnienie danych uwierzytelniających ani tokenów sesji. Atak na ścieżce komunikacji polega na przechwytywaniu komunikacji między użytkownikiem a usługą — technika ta od dawna określana jest jako atak typu man-in-the-middle.

Firma poinformowała, że atak został opanowany i usunięto jego skutki, a dotknięci incydentem użytkownicy musieli zresetować hasła. Zalecono także klientom odpowiednią rotację kluczy API. Atak zakłócił dostęp do produktów wykorzystywanych przez rządy, organy ścigania i firmy do śledzenia transakcji kryptowalutowych.

Jak rozszerzył się zakres ujawnienia haseł

W powiadomieniu z 30 października Chainalysis określiło atak jako „podobny do wielu innych platform technologicznych w ostatnich tygodniach” i podało, że incydent nie miał związku z niedawną kradzieżą kryptowalut związaną z Binance. Na tym etapie firma informowała, że atakujący uzyskali dostęp wyłącznie do nieczułych danych użytkowników, w tym identyfikatorów użytkowników, pełnych imion i nazwisk, adresów e-mail oraz etykiet ról w organizacji.

Chainalysis podało później, że atakujący wykorzystali „ofensywne techniki agentowe” — termin ogólnie odnoszący się do metod ataku z użyciem autonomicznych agentów AI. Początkowe dochodzenie nie wykazało dowodów na dostęp do treści śledztw, takich jak wykresy, notatki czy sprawy. Firma podała również, że nie znalazła dowodów na naruszenie wyników transakcji lub zapytań, haseł w postaci jawnego tekstu, tajemnic uwierzytelniania wieloskładnikowego ani tokenów sesji użytkowników.

Ta ocena zmieniła się 4 listopada. „Dziś potwierdziliśmy, że w ramach tego incydentu „atak na ścieżce komunikacji” ujawnił podzbiór haseł klientów, w tym Pana/Pani hasło” — poinformowała firma w e-mailu do stron dotkniętych incydentem. Chainalysis podało, że opanowało i usunęło skutki wektora ataku, ale nie określiło w przekazanym oświadczeniu, ile haseł zostało ujawnionych.

Ostrożne przywracanie usług

Chainalysis zablokowało użytkownikom dostęp i skierowało ich do resetowania danych uwierzytelniających poprzez standardową stronę logowania. Profilaktycznie, „dla zachowania szczególnej ostrożności”, wyłączyło także usługi Reactor, Data Solutions i Chain (Beta). Osobno firma powołała się na nietypową aktywność, wyłączając interfejs użytkownika i API usługi KYT, pozostałe produkty do weryfikacji adresów oraz stronę logowania.

Firma poinformowała, że rozpoczęła częściowe przywracanie usług KYT i Address Screening, informując klientów, by oczekiwali przywrócenia dostępu „w ciągu najbliższych kilku godzin”, jednocześnie deklarując ostrożne postępowanie i monitorowanie każdego etapu. Klientom chętnym na szybszy dostęp zaproponowano przesłanie zaufanego adresu IP e-mailem i przygotowanie się do resetu danych uwierzytelniających.

Chainalysis podało, że pracuje „wokół zegara”, wzmacniając swoje systemy i przywracając usługi Reactor i Data Solutions. Firma przyznała się do zakłóceń i podziękowała klientom za cierpliwość. W oświadczeniu nie podano terminu zakończenia przywracania tych usług.

Dlaczego ten incydent ma znaczenie dla śledztw kryptowalutowych

Chainalysis określa swoją działalność jako analitykę blockchain wykorzystywaną przez rządy, organy ścigania i firmy do śledzenia i badania transakcji kryptowalutowych. Policja wykorzystywała jego narzędzia do śledzenia skradzionych środków, identyfikowania nielegalnej działalności i badania przestępstw związanych z kryptowalutami.

Firma podała, że incydent jest niezależny od niedawnej kradzieży kryptowalut związanej z Binance, której środki analitycy śledzą osobno. Według najnowszej aktualizacji żaden sprawca nie przyznał się do ataku, a ujawnione dane nie pojawiły się w dark webie. W oświadczeniu nie wspomniano o żądaniu okupu ani o kontakcie atakujących z Chainalysis. Firma jako kolejne kroki wskazała dalsze wzmacnianie systemów, ostrożne przywracanie usług i dodatkowe zabezpieczenia kont, w tym resetowanie haseł i — w razie potrzeby — rotację kluczy API.