Chainalysis apagó su plataforma de monitoreo de transacciones KYT después de reconocer que un ciberataque expuso los nombres de usuario, los hashes de las contraseñas y los tokens activos de todos sus usuarios. La empresa también desconectó la interfaz y la API de KYT, además de otros productos, mientras revisa el alcance del incidente y prepara una restauración por etapas.
El alcance del ataque cambió en cinco días
La compañía, especializada en análisis de blockchain para exchanges, empresas y autoridades, comunicó el 30 de octubre que un actor externo había accedido sin autorización a sistemas y herramientas internas mediante lo que describió como “técnicas ofensivas agénticas”. En ese primer aviso aseguró que se habían expuesto identificadores de usuario, nombres, correos electrónicos y roles dentro de las organizaciones.
Chainalysis dijo entonces que no había encontrado indicios de acceso a contraseñas en texto plano, secretos de doble factor ni tokens de sesión. También desvinculó el incidente del robo sufrido recientemente por Binance.
La evaluación posterior amplió el diagnóstico. El 2 de noviembre la empresa apagó Reactor, su herramienta de investigación, y Data Solutions para realizar comprobaciones de seguridad con expertos externos. KYT y otros productos de monitoreo para cumplimiento continuaron operativos bajo vigilancia.
El 4 de noviembre, a las 9:50 de la mañana, Chainalysis informó de un ataque de tipo “on-path”, una modalidad que intercepta tráfico, y señaló que las contraseñas de una parte de sus clientes habían quedado expuestas. Afirmó que el método ya estaba contenido y que las cuentas afectadas habían sido bloqueadas.
Menos de una hora después, la compañía desconectó KYT, sus productos de revisión de direcciones y la página de inicio de sesión tras detectar actividad anormal. Finalmente, a las 11 de la noche, admitió que el actor malicioso había accedido a los nombres, usuarios, hashes de contraseñas y tokens activos de todos los usuarios de Chainalysis. La empresa indicó que descubrió este extremo el lunes. Al cierre de esta información, el 6 de noviembre, no había publicado una actualización posterior.
Qué datos están expuestos y qué medidas deben tomar los clientes
Un hash es una representación matemática de una contraseña, no la clave legible. Sin embargo, una contraseña débil puede llegar a recuperarse a partir de su hash si se dispone de suficiente capacidad de cómputo. Chainalysis no ha detallado qué método de hash utiliza ni qué tipo de tokens fueron expuestos.
La firma sostiene que no hay pruebas de acceso a datos de investigaciones ni de manipulación de sus datos de atribución, que vinculan direcciones de blockchain con exchanges, servicios o grupos criminales. También está contactando directamente con los clientes cuyas cuentas de KYT parecen haber sido utilizadas sin autorización, aunque no ha indicado cuántas son.
Para recuperar el acceso, cada cliente deberá registrar ante soporte o ante su equipo de cuenta las direcciones IP de confianza desde las que se conecta. Una vez incluidas en la lista blanca, podrá cambiar su contraseña y rotar las claves API. El cambio de contraseña será obligatorio para todos los usuarios, mientras que quienes utilicen la API deberán sustituir sus claves cuando corresponda.
Chainalysis prevé restablecer KYT y Address Screening de forma gradual. Reactor y Data Solutions, en cambio, continúan sin una fecha anunciada de regreso. La compañía recomienda no abrir enlaces de restablecimiento enviados en correos no solicitados y cambiar la contraseña en cualquier otro servicio donde se haya reutilizado.
El incidente puede afectar a los tiempos de depósitos y retiros
Chainalysis no custodia fondos ni opera como exchange. Sus herramientas se utilizan, entre otras tareas, para comprobar si una dirección está vinculada a hackeos, estafas o listas de sanciones antes de acreditar o enviar una transferencia. Cuando ese control depende de un proveedor externo conectado por API y deja de estar disponible, una plataforma puede pausar las operaciones en lugar de procesarlas sin revisión.
Ese mecanismo puede provocar que un depósito o un retiro aparezca pendiente aunque la red blockchain funcione con normalidad. Coincheck, un exchange japonés, suspendió el 5 de noviembre nuevas solicitudes de retiro de criptomonedas y comunicó demoras en los depósitos por una interrupción de un servicio externo de análisis on-chain. La plataforma no identificó al proveedor, canceló parte de los retiros pendientes y devolvió esos fondos a los saldos. También aseguró que no hubo acceso no autorizado a los activos de sus clientes.
Ninguna de las empresas ha confirmado que ese proveedor fuera Chainalysis. Tampoco se conoce quién está detrás del ataque, cómo se produjo la intrusión, cuántas cuentas de KYT fueron utilizadas sin autorización o qué exchanges pudieron sufrir demoras en España o Latinoamérica. La investigación y la restauración de los servicios siguen en curso.
