El ciberataque contra Chainalysis ha expuesto nombres de usuario, datos cifrados de contraseñas y tokens de acceso activos de todos los usuarios de la plataforma, según la última actualización publicada por la compañía. La empresa también ha detectado un segundo ataque mediante el que los intrusos interceptaron comunicaciones y obtuvieron las contraseñas de algunos clientes.
El alcance confirmado es mayor que el comunicado inicialmente por Chainalysis. El 30 de octubre, la firma especializada en análisis de blockchain informó de que los atacantes habían accedido a nombres, direcciones de correo electrónico e identificadores de usuario. En ese momento aseguró que no había indicios de que se hubieran sustraído contraseñas o tokens activos.
Tokens activos y contraseñas comprometidas
La investigación posterior modificó esa primera evaluación. En una actualización difundida el miércoles 4 de noviembre, Chainalysis reconoció que el robo incluía también nombres de usuario, información cifrada asociada a las contraseñas y tokens de acceso activos correspondientes a todos sus usuarios.
Estos tokens permiten que los sistemas identifiquen a un usuario sin exigirle que vuelva a iniciar sesión en cada acceso. Por ese motivo, su exposición puede facilitar la entrada en cuentas si los atacantes consiguen utilizarlos. La compañía no ha aclarado hasta qué punto los datos sustraídos han sido empleados de forma indebida.
Además, Chainalysis descubrió una intrusión distinta en la que se interceptaron las comunicaciones entre algunos usuarios y la plataforma. Como consecuencia, los atacantes pudieron obtener las contraseñas de determinados clientes. La empresa afirma que ya ha bloqueado la vía empleada para llevar a cabo el ataque.
Suspensión y recuperación de servicios
La brecha también ha obligado a interrumpir parte de la actividad de Chainalysis. A principios de esa semana, la compañía desactivó Reactor y Data Solutions, dos servicios utilizados para investigar transacciones con criptomonedas y analizar información de redes blockchain.
Más tarde apareció actividad sospechosa en Know Your Transaction (KYT), una herramienta empleada por empresas del sector para supervisar operaciones y detectar posibles casos de fraude o blanqueo de capitales. Chainalysis suspendió temporalmente KYT y otros servicios de monitorización como medida preventiva.
En la actualización del viernes 6 de noviembre, la firma señaló que el acceso a KYT y Address Screening comenzaba a restablecerse de forma gradual. Las cuentas afectadas permanecen bloqueadas hasta que se complete el proceso de seguridad.
La compañía ha pedido a sus usuarios que cambien las contraseñas y que sustituyan las claves API cuando sea necesario. Estas claves permiten que sistemas externos se conecten con los servicios de Chainalysis y, por tanto, forman parte de las credenciales que deben revisarse tras el incidente.
Sin pruebas de acceso a los datos de investigación
El ataque afecta a una empresa cuyos servicios utilizan plataformas de intercambio de criptomonedas, bancos y cuerpos policiales de distintos países. Chainalysis participa en el rastreo de activos digitales robados, la detección de operaciones sospechosas y el análisis de flujos vinculados a posibles delitos financieros. Para ello, sus herramientas relacionan direcciones de blockchain con personas y organizaciones.
Según la información facilitada por la compañía, por ahora no existen pruebas de que los atacantes hayan accedido a los datos de sus investigaciones. Tampoco hay indicios de que se haya alterado la información sobre las identidades vinculadas a direcciones de blockchain.
La investigación, sin embargo, continúa abierta. Chainalysis trabaja con expertos externos en ciberseguridad para determinar el alcance completo de la intrusión y recuperar sus servicios de manera segura.
