Chainalysis afirma que los atacantes obtuvieron los hash de las contraseñas y los tokens activos de todos los usuarios

Chainalysis pasó una semana asegurando a sus clientes que los daños eran mínimos. Pero no fue así.

En un comunicado actualizado sobre el incidente publicado esta semana, la empresa de análisis de cadenas de bloques afirmó que los nombres, nombres de usuario, hash de contraseñas y tokens de autenticación activos de todos sus usuarios quedaron expuestos a un atacante. WuBlockchain señaló la actualización en X el 6 de noviembre y añadió la parte que más duele: también se filtraron algunas contraseñas en texto plano, a través de un método de ataque distinto.

De «datos no sensibles» a todo

Chainalysis lo hizo público el 30 de octubre. En su comunicado sobre el incidente de seguridad, indicaba que un agente externo había utilizado «técnicas ofensivas de tipo agente» para acceder a sus sistemas y herramientas internas. En ese momento, los datos expuestos eran los ID de usuario, los nombres completos, las direcciones de correo electrónico y las etiquetas de funciones dentro de la organización. La empresa calificó estos datos de no sensibles y afirmó que no había encontrado indicios de acceso al contenido de las investigaciones, a las credenciales ni a los tokens de sesión. También afirmó, en dos ocasiones, que el incidente no tenía nada que ver con el robo de Binance.

Cinco días después, esa versión se desmoronó. Chainalysis afirmó que descubrió el lunes 2 de noviembre que se había filtrado un conjunto más amplio de datos, y Cointelegraph informó de que la empresa describió por primera vez este cambio el miércoles. Según BleepingComputer, una actualización posterior reveló que un «ataque en ruta» —del tipo «hombre en el medio»— había expuesto un subconjunto de contraseñas de clientes. La empresa afirma que ese vector ya está controlado.

Hay una fecha que no cuadra. Cybernews sitúa el descubrimiento el miércoles 4 de noviembre. La propia redacción de Chainalysis, tal y como la citan Cointelegraph y BleepingComputer, indica que fue el lunes.

Qué significa un «token activo»

Los hash de las contraseñas están codificados, no son legibles, pero pueden descifrarse, y cualquier usuario que haya reutilizado una contraseña queda expuesto en otros sitios. Los tokens activos son el mayor motivo de preocupación. Tal y como explicó American Banker, un token permite a una persona o a un programa actuar como un usuario que ha iniciado sesión sin necesidad de introducir una contraseña. Chainalysis no ha especificado qué podría ver o modificar un intruso con uno de ellos. Además, se ha negado a facilitar a Cointelegraph información adicional a la del comunicado publicado, y no ha aclarado si el atacante ha sido expulsado.

El cierre

Los primeros en dejar de funcionar fueron Reactor, la herramienta de investigación, y Data Solutions, que integra los datos de Chainalysis en los propios sistemas de los clientes. Más tarde, tras detectar actividad anómala, la empresa retiró KYT —tanto la interfaz como la API—, junto con el filtrado de direcciones y la página de inicio de sesión, según The Hacker News. Las cuentas afectadas quedaron bloqueadas. Para algunos usuarios, ni siquiera era posible aún restablecer la contraseña.

Restablecer el acceso implica crear una lista blanca de direcciones IP, restablecer las contraseñas y rotar las claves de la API para cada usuario. KYT y el filtro de direcciones fueron los primeros en recuperarse. Reactor y Data Solutions aún no tienen fecha de restablecimiento.

Para un equipo de cumplimiento normativo que filtra los depósitos a través de KYT, ha sido una semana terrible. Entre los clientes se encuentran fuerzas del orden, organismos gubernamentales, bancos, aseguradoras y empresas del sector de las criptomonedas, señala BleepingComputer. Varios de ellos se han quedado sin una herramienta de filtrado fundamental mientras esperaban respuestas.

Lo que más importa

Chainalysis sigue afirmando que no tiene pruebas de que se haya accedido a los datos de la investigación ni de que se hayan manipulado sus datos de atribución. Los datos de atribución son lo que vincula las direcciones con entidades reales, y si alguien pudiera modificarlos discretamente, todo rastro basado en ellos se volvería sospechoso. Por lo tanto, esta afirmación tiene mucho peso.

Aun así, yo la leería con atención. «No hay pruebas» era también la postura de la empresa respecto a las credenciales y los tokens el 30 de octubre. American Banker señaló que las revelaciones más amplias se produjeron cinco días después de esa declaración. Eso no significa que la afirmación actual sea falsa. Sí significa que la investigación sigue en marcha.

El aspecto de la IA

Chainalysis afirma que está observando un aumento en todo el sector de los ataques impulsados por IA. No ha especificado qué herramienta se utilizó, cuánto tiempo permaneció el atacante en el sistema ni qué vulnerabilidades se explotaron. Teiss señaló que no está claro si el atacante utilizó un marco como ARTEX o agentes personalizados.

Sin embargo, la tendencia general es real. The Hacker News incluye a Chainstack, OpenCode, Warp y WorkOS entre las empresas que han informado recientemente de ataques impulsados por IA. Microsoft describió una campaña en la que un agente pasó de escanear GitHub en busca de secretos expuestos a extraer datos de Azure Key Vault en unos cinco minutos. No hay nada público que vincule esa campaña con Chainalysis.

Una mala semana para la seguridad de las criptomonedas

El momento es inoportuno. Binance perdió aproximadamente 6.300 millones de dólares en una brecha de seguridad el 29 de octubre, y Chainalysis fue una de las empresas que ayudó a la comunidad a averiguar quién estaba detrás de ella. Esta semana, Binance y Deribit también revocaron todas las claves API vinculadas a la plataforma de negociación SignalPlus después de que esta informara de un problema de seguridad. SignalPlus afirmó posteriormente que una invitación falsa de Microsoft Teams había comprometido el ordenador de un ingeniero y que las pérdidas se situaban por debajo de los 82 000 dólares. Tanto Binance como Deribit aseguraron que sus propios sistemas no se vieron afectados, y Changpeng Zhao instó a los operadores a revocar las claves de SignalPlus en otras plataformas de intercambio.

Ninguno de estos incidentes está relacionado con Chainalysis. En conjunto, ponen de manifiesto hasta qué punto la seguridad de este sector depende ahora de los datos de inicio de sesión, los tokens y las claves API que están en manos de terceros.

¿Qué deben hacer los usuarios?

Los clientes de Chainalysis deben prepararse para un restablecimiento forzado y cambiar cualquier clave API que la empresa les solicite. Si has reutilizado tu contraseña de Chainalysis en cualquier otro sitio, cámbiala también allí. Trata cualquier correo electrónico inesperado de restablecimiento de contraseña o solicitud de autenticación como una amenaza, que es exactamente lo que Chainalysis ha aconsejado a sus propios usuarios.

Aún sin respuesta: a cuántos clientes se les ha accedido a sus cuentas, si el atacante ya ha sido neutralizado y cuándo volverá a estar operativo Reactor.