Filtración de Chainalysis expone contraseñas y tokens de usuarios y obliga a cerrar servicio

En su última actualización, publicada el miércoles 4 de noviembre a las 23:00 h (hora del Este), Chainalysis afirmó que el lunes descubrió que la información de los clientes —incluidos nombres, nombres de usuario, hash de contraseñas y tokens activos— había quedado expuesta a un actor malintencionado. La empresa también confirmó actividades sospechosas relacionadas con sus productos de supervisión del cumplimiento normativo, lo que ha suscitado preocupación sobre el alcance más amplio de la filtración.

Esta revelación supone un agravamiento significativo con respecto al comunicado inicial de la empresa del 30 de octubre, en el que Chainalysis informó de que los piratas informáticos habían accedido a información básica de los clientes, pero señaló que no había pruebas de que se hubieran visto comprometidas las credenciales de autenticación ni los datos de investigación.

Chainalysis ha indicado que ha desconectado su plataforma de supervisión «Know Your Transaction» (KYT), incluida su interfaz de usuario y su API, junto con los productos de filtrado de direcciones y su página de inicio de sesión. También se han desactivado su plataforma de investigación Reactor, los productos de Data Solutions y el servicio Chain (Beta).

La empresa ha indicado que detectó actividad anómala en sus sistemas de filtrado de transacciones tras introducir medidas de supervisión adicionales. Está notificando directamente a los clientes cuyas cuentas de KYT parecen haber sido objeto de acceso no autorizado.

A pesar de la creciente preocupación por la seguridad, Chainalysis ha afirmado que no ha encontrado pruebas de que se haya accedido a datos confidenciales de investigación ni de que se hayan manipulado sus datos de atribución de blockchain. La empresa tiene previsto comenzar a restablecer el acceso a KYT y a Address Screening el jueves 5 de noviembre, utilizando un sistema que requiere que los clientes proporcionen direcciones IP de confianza para una lista de permitidos. A continuación, los clientes podrán restablecer sus contraseñas y rotar las claves API. Chainalysis ha indicado que todos los usuarios deberán restablecer sus contraseñas y rotar las claves API cuando sea necesario, como parte del proceso general de restablecimiento.

Un ataque asistido por IA expone la información de los clientes

Chainalysis reveló por primera vez el incidente el 30 de octubre, explicando que había detectado a un atacante externo que utilizaba lo que describió como «técnicas ofensivas de tipo agente» para obtener acceso no autorizado a sistemas y herramientas internas.

La terminología sugiere que el atacante empleó técnicas autónomas o asistidas por IA, aunque la empresa no ha proporcionado una explicación técnica sobre cómo se utilizaron esos métodos ni ha identificado las vulnerabilidades explotadas inicialmente. En ese momento, Chainalysis reconoció que se había accedido a los ID de usuario, los nombres completos, las direcciones de correo electrónico y la información sobre los roles organizativos. Calificó esos registros como no sensibles y afirmó que estaba determinando cuántos clientes se habían visto afectados. Sin embargo, las actualizaciones del miércoles revelaron una exposición considerablemente más grave. A primera hora del día, Chainalysis confirmó que un «ataque en ruta» había comprometido las contraseñas de un subconjunto de clientes. Este tipo de ataques consiste en interceptar las comunicaciones entre sistemas o usuarios, lo que podría permitir a los atacantes capturar información sensible. La empresa afirmó que ese método de ataque concreto se había contenido y solucionado, y comenzó a notificar a los clientes afectados que sus cuentas quedarían bloqueadas hasta que cambiaran sus contraseñas.

Horas más tarde, Chainalysis reveló la exposición de los hash de contraseñas y los tokens activos de todos los usuarios, lo que amplió sustancialmente el impacto potencial más allá del grupo identificado inicialmente. La empresa no ha revelado cuántos usuarios individuales u organizaciones se vieron afectados, cuánto tiempo mantuvieron el acceso los atacantes ni si los tokens expuestos se utilizaron para comprometer cuentas adicionales.

Un incidente de seguridad perturba una infraestructura crítica de criptomonedas

La filtración reviste especial importancia porque Chainalysis proporciona inteligencia sobre blockchain y herramientas de cumplimiento normativo a plataformas de intercambio de criptomonedas, instituciones financieras, organismos reguladores y fuerzas del orden. Su plataforma Reactor ayuda a los investigadores a rastrear los movimientos de criptomonedas y examinar las conexiones entre direcciones de blockchain, mientras que KYT permite a las empresas supervisar las transacciones en busca de posibles casos de blanqueo de capitales, exposición a sanciones y otras actividades ilícitas.

El cierre de estos sistemas podría entorpecer las investigaciones y las operaciones de cumplimiento normativo en las organizaciones que dependen de Chainalysis, aunque la empresa no ha cuantificado el impacto en los clientes.

Inicialmente, la empresa mantuvo en funcionamiento sus productos de supervisión de transacciones mientras desconectaba otros servicios, alegando su importancia en la detección de delitos financieros. Esa decisión cambió el miércoles tras identificarse actividad sospechosa adicional. Chainalysis ha contratado a especialistas externos en ciberseguridad y ha afirmado que también está utilizando modelos lingüísticos avanzados de gran escala para examinar sus sistemas y reforzar las defensas.

La empresa ha subrayado que la intrusión no guardaba relación con el robo de criptomonedas por valor de 6.3 mil millones de dólares ocurrido la semana pasada en la importante plataforma de intercambio Binance, que ha suscitado gran atención en todo el sector. A principios de esta semana, la plataforma brasileña de intercambio de criptomonedas Mercado Bitcoin fue objeto de un ataque independiente, y la empresa ha informado de que le robaron alrededor de 38 millones de dólares en criptomonedas.

Chainalysis ha instado a sus clientes a permanecer alerta ante comunicaciones sospechosas y solicitudes de autenticación inesperadas, a activar la autenticación de dos factores y a cambiar las contraseñas que se reutilicen en otras plataformas. La investigación sigue en curso, y es posible que se hagan públicas más informaciones a medida que la empresa determine el alcance total de la brecha y trabaje para restablecer sus servicios.