Faille chez Chainalysis: mots de passe et jetons compromis, services suspendus

Dans sa dernière mise à jour, publiée mercredi 4 novembre à 23 h (heure de l’Est), Chainalysis a indiqué avoir découvert lundi que des informations client — notamment des noms, des noms d’utilisateur, des hachages de mots de passe et des jetons actifs — avaient été exposées à un acteur malveillant. La société a également confirmé des activités suspectes impliquant ses produits de surveillance de la conformité, ce qui soulève des inquiétudes quant à l’ampleur plus large de cette violation.

Cette révélation marque une aggravation significative par rapport à l’annonce initiale de la société du 30 octobre, dans laquelle Chainalysis signalait que des pirates avaient accédé à des informations de base sur les clients, tout en précisant qu’il n’y avait aucune preuve de compromission des identifiants d’authentification ou des données d’enquête.

Chainalysis a indiqué avoir désormais mis hors ligne sa plateforme de surveillance « Know Your Transaction » (KYT), y compris son interface utilisateur et son API, ainsi que ses produits de filtrage d’adresses et sa page de connexion. Sa plateforme d’enquête Reactor, ses produits Data Solutions et son service Chain (Beta) ont également été désactivés.

La société a indiqué avoir détecté une activité anormale dans ses systèmes de filtrage des transactions après avoir mis en place des mesures de surveillance supplémentaires. Elle informe directement les clients dont les comptes KYT semblent avoir fait l’objet d’un accès non autorisé.

Malgré l’intensification des préoccupations en matière de sécurité, Chainalysis a déclaré n’avoir trouvé aucune preuve indiquant que des données d’enquête confidentielles aient été consultées ou que ses données d’attribution de blockchain aient été manipulées. La société prévoit de commencer à rétablir l’accès à KYT et à Address Screening le jeudi 5 novembre, à l’aide d’un système exigeant que les clients fournissent des adresses IP de confiance pour une liste blanche. Les clients pourront alors réinitialiser leurs mots de passe et renouveler leurs clés API. Chainalysis a précisé que tous les utilisateurs seront tenus de réinitialiser leurs mots de passe et de renouveler leurs clés API, le cas échéant, dans le cadre du processus global de rétablissement.

Une attaque assistée par l’IA expose les informations des clients

Chainalysis a révélé l’incident pour la première fois le 30 octobre, expliquant avoir détecté un attaquant externe utilisant ce qu’elle a qualifié de « techniques offensives de type agentique » pour obtenir un accès non autorisé à ses systèmes et outils internes.

Cette terminologie suggère que l’attaquant a eu recours à des techniques autonomes ou assistées par l’IA, bien que la société n’ait pas fourni d’explication technique sur la manière dont ces méthodes ont été utilisées ni identifié les vulnérabilités initialement exploitées. À l’époque, Chainalysis avait reconnu que des identifiants d’utilisateurs, des noms complets, des adresses e-mail et des informations sur les rôles au sein de l’organisation avaient été consultés. Elle a qualifié ces données de non sensibles et a indiqué qu’elle était en train de déterminer le nombre de clients concernés. Cependant, les informations communiquées mercredi ont révélé une exposition bien plus grave. Plus tôt dans la journée, Chainalysis a confirmé qu’une « attaque en cours de transmission » avait compromis les mots de passe d’un sous-ensemble de clients. Ce type d’attaque consiste à intercepter les communications entre des systèmes ou des utilisateurs, ce qui permet potentiellement aux attaquants de capturer des informations sensibles. La société a déclaré que cette méthode d’attaque particulière avait été maîtrisée et corrigée, et elle a commencé à informer les clients concernés que leurs comptes seraient verrouillés jusqu’à ce que leurs mots de passe soient modifiés.

Quelques heures plus tard, Chainalysis a révélé l’exposition des hachages de mots de passe et des jetons actifs de tous les utilisateurs, élargissant considérablement l’impact potentiel au-delà du groupe initialement identifié. La société n’a pas précisé combien d’utilisateurs individuels ou d’organisations avaient été touchés, pendant combien de temps les attaquants avaient conservé l’accès, ni si les jetons exposés avaient été utilisés pour compromettre d’autres comptes.

Un incident de sécurité perturbe une infrastructure cryptographique critique

Cette faille revêt une importance particulière, car Chainalysis fournit des outils de veille sur la blockchain et de conformité aux plateformes d’échange de cryptomonnaies, aux institutions financières, aux régulateurs et aux forces de l’ordre. Sa plateforme Reactor aide les enquêteurs à retracer les mouvements de cryptomonnaies et à examiner les liens entre les adresses de la blockchain, tandis que KYT permet aux entreprises de surveiller les transactions afin de détecter d’éventuels cas de blanchiment d’argent, d’exposition aux sanctions et d’autres activités illicites.

La mise hors service de ces systèmes pourrait perturber les enquêtes et les opérations de conformité au sein des organisations qui s’appuient sur Chainalysis, bien que la société n’ait pas quantifié l’impact sur ses clients.

Dans un premier temps, l’entreprise avait maintenu en service ses produits de surveillance des transactions tout en mettant hors ligne ses autres services, invoquant leur importance dans la détection de la criminalité financière. Cette décision a été modifiée mercredi après l’identification d’activités suspectes supplémentaires. Chainalysis a fait appel à des spécialistes externes en cybersécurité et a indiqué qu’elle utilisait également des modèles linguistiques avancés de grande envergure pour examiner ses systèmes et renforcer ses défenses.

L’entreprise a souligné que cette intrusion n’avait aucun lien avec le vol de cryptomonnaies d’une valeur de 6,3 milliards de dollars survenu la semaine dernière sur la principale plateforme d’échange Binance, qui a suscité un vif intérêt dans l’ensemble du secteur. En début de semaine, la plateforme d’échange brésilienne Mercado Bitcoin a été prise pour cible dans un autre incident ; l’entreprise a déclaré qu’environ 38 millions de dollars en cryptomonnaies avaient été volés.

Chainalysis a exhorté ses clients à rester vigilants face à toute communication suspecte ou demande d’authentification inattendue, à activer l’authentification à deux facteurs et à modifier les mots de passe réutilisés sur d’autres plateformes. L’enquête se poursuit, et de nouvelles informations pourraient être communiquées à mesure que l’entreprise évalue l’ampleur totale de la faille et s’efforce de rétablir ses services.