La firma Chainalysis sufrió un grave ataque cibernético mediante agentes de IA, comprometiendo hashes de contraseñas y tokens de usuarios. La empresa ha suspendido varios de sus servicios críticos de análisis de blockchain mientras trabaja en restablecer la seguridad de sus sistemas.



La firma de análisis de blockchain Chainalysis ha confirmado que cuando los atacantes irrumpieron en sus sistemas en octubre, lograron obtener nombres de usuario, hashes de contraseñas y tokens activos.

En una actualización escrita a última hora del miércoles, la empresa, líder en análisis de blockchain que cuenta con clientes y socios globales de muy alto perfil, confirmó el impacto del ataque por primera vez.

En actualizaciones anteriores, que Chainalysis ha emitido regularmente desde que detectó la intrusión el 30 de octubre, confirmó que quedaron expuestos los ID de usuario, nombres completos, direcciones de correo electrónico y etiquetas de rol organizativo. La noticia de que también se accedió a hashes de contraseñas y tokens activos refleja un panorama que empeora para la empresa.


Chainalysis no confirmó el tipo de algoritmo de hashing que utilizó para cifrar las contraseñas de los usuarios, lo que dificulta sacar conclusiones sobre la posibilidad de descifrar las credenciales hasheadas de los usuarios fuera de línea.


Algunos usuarios recibieron correos electrónicos instruyéndoles a cambiar sus contraseñas, pero Chainalysis señaló en su última actualización que la funcionalidad de restablecimiento de contraseñas está actualmente fuera de servicio. No obstante, se instó a los usuarios a cambiar sus contraseñas en cualquier sitio donde reutilicen sus credenciales.

Además de los datos expuestos, Chainalysis también detectó "actividad anormal" en sus productos de detección de transacciones y ha suspendido los servicios mientras "nuestro equipo completa el trabajo crítico".

Estos incluyen, entre otros, la plataforma de investigación de blockchain Reactor utilizada por clientes de fuerzas del orden internacionales, la plataforma de inteligencia de amenazas Data Solutions y la interfaz de usuario y página de inicio de sesión de la solución contra el blanqueo de capitales KYT (know your transaction).

Respecto a Reactor y los datos de investigación asociados, Chainalysis afirmó en [este enlace]: "En este momento, seguimos sin tener pruebas de que se haya accedido a ningún dato de investigación o de que los datos de atribución de Chainalysis hayan sido manipulados".

La empresa tiene previsto restablecer KYT y la herramienta de detección de direcciones de inteligencia de riesgos en algún momento de hoy (jueves 5 de noviembre).

Los clientes deberán proporcionar al equipo de soporte de la empresa o a su gestor de cuenta direcciones IP confiables, que se añadirán a una lista de permitidos. A partir de ahí, los usuarios podrán comenzar a restablecer sus contraseñas.

"Estamos trabajando día y noche para reforzar nuestros sistemas y volver a poner en línea Reactor y Data Solutions", dijo Chainalysis. "Requeriremos protecciones adicionales para acceder a las cuentas, incluyendo que cada usuario tendrá que restablecer las contraseñas y rotar las claves API según corresponda. Comunicaremos estos cambios según sea necesario.

"Sabemos lo críticos que son estos servicios para nuestros clientes y estamos trabajando expeditamente junto con nuestros expertos externos para restaurarlos de forma segura".


Chainalysis aún no ha comentado quién estuvo detrás del ataque, pero insinuó que los culpables utilizaron un agente de IA, y comparó el ataque con otros que han afectado a "muchas otras plataformas tecnológicas en las últimas semanas".

"Este mes, Chainalysis detectó a un actor externo utilizando técnicas agénticas ofensivas para obtener acceso no autorizado a los sistemas y herramientas internas de Chainalysis", informó a los clientes en su divulgación inicial del 30 de octubre.

"Nuestros equipos han estado trabajando día y noche para investigar la actividad no autorizada, parchear vulnerabilidades y reforzar nuestros sistemas".

En las actualizaciones del miércoles, se refirió a la intrusión como un "ciberataque multifrontal en curso" y, más tarde, como un "ataque en el camino", también conocido como ataque de hombre en el medio (AitM), sin dar más detalles sobre lo que implicaba.

Según la descripción de su propia empresa, Chainalysis cuenta entre su base de clientes con agencias gubernamentales, casas de cambio de criptomonedas, instituciones financieras y empresas de ciberseguridad.

Es una de las empresas de análisis de blockchain más importantes del mundo y es contratada habitualmente para ayudar en investigaciones policiales relacionadas con la ciberseguridad.

Casos recientes en los que se solicitó el apoyo de la empresa incluyen el desmantelamiento de la red de lavado de criptomonedas AudiA6 y del proveedor de hosting a prueba de balas Virtualine, ambos conocidos facilitadores de bandas de ransomware.

También desempeñó un papel en la caída de la infame operación de ransomware LockBit, entre otras intervenciones en el periodo intermedio. 

Fuente:
TheRegister