Chainalysis confirma que la brecha expuso credenciales y tokens activos de todos sus usuarios

Chainalysis, empresa de análisis de blockchain que vende herramientas de investigación y cumplimiento a fuerzas de seguridad, administraciones y entidades financieras, ha actualizado la información sobre el incidente de seguridad que reconoció a finales de octubre. En su página de seguimiento, la compañía confirma ahora que un ataque on-path —el término que usa para un ataque de intermediario o man-in-the-middle— expuso nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios de Chainalysis.

Qué ocurrió y cuándo

El primer comunicado, del 30 de octubre, describía un acceso no autorizado mediante "técnicas agénticas ofensivas" y afirmaba que no había indicios de acceso a contenido de investigaciones, credenciales ni tokens de sesión. La compañía sostuvo entonces que el impacto se limitaba a datos de identidad no sensibles, como identificadores de usuario, nombres completos, direcciones de correo y etiquetas de rol dentro de la organización.

La actualización del 4 de noviembre cambió el alcance. Chainalysis explicó que el lunes había descubierto que la información expuesta incluía también nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios. La empresa mantiene que sigue sin pruebas de que se haya accedido a datos de investigaciones ni de que se hayan manipulado sus repositorios de atribución.

Bloqueo de cuentas y retirada de servicios

Como medida de precaución, Chainalysis bloqueó las cuentas y pidió a los clientes que restablecieran sus contraseñas. La empresa ya había retirado Reactor y Data Solutions; después detectó actividad anómala y retiró también el portal de acceso, la interfaz y la API de KYT —su producto de seguimiento de transacciones— y las herramientas de cribado de direcciones. La empresa ha explicado que notifica directamente a los clientes cuyas cuentas de KYT parecen haber sido accedidas sin autorización.

El 6 de noviembre, Chainalysis informó de que había empezado a restaurar KYT y Address Screening de forma gradual, con más clientes previstos a lo largo del día. Reactor y Data Solutions seguían fuera de línea. La restauración no es automática: los clientes deben enviar a la empresa las direcciones IP de confianza que quieran incluir en una lista de permitidos y, una vez concedido el acceso, restablecer la contraseña y rotar las claves de API antes de volver a registrar transacciones.

Por qué importan los tokens activos

Un hash de contraseña no es una contraseña en claro, pero puede someterse a ataques de fuerza bruta o de diccionario si el algoritmo y las condiciones de almacenamiento no son suficientemente robustos. Un token activo es más inmediato: si permite autenticar llamadas a una API, un atacante podría intentar usarlo mientras siga vigente. De ahí que la empresa exija rotar las claves y no solo cambiar la contraseña.

El incidente también recuerda que la autenticación de dos factores no protege por sí sola frente al robo de un token de sesión o de una credencial de API. Para los clientes, la prioridad es seguir las instrucciones de Chainalysis, revisar los registros de acceso y comprobar si se han producido consultas o cambios no reconocidos. Cualquier indicio de uso anómalo debería tratarse como un incidente de seguridad y comunicarse a la empresa.

Un sector bajo presión

Chainalysis no ha detallado el vector inicial ni ha atribuido el ataque a un grupo concreto. Su investigación sigue abierta y la compañía ha prometido nuevas actualizaciones. El caso se suma a una serie de incidentes recientes en el ecosistema de las criptomonedas, un sector que maneja credenciales con acceso a fondos y a datos de investigación especialmente sensibles.

Para las organizaciones que dependen de estos servicios, la lección inmediata es operativa: comprobar si sus integraciones usan claves que deban rotarse, revisar los permisos de las cuentas y mantener un plan alternativo mientras los productos afectados no estén disponibles. La transparencia sobre el alcance ha mejorado con las sucesivas actualizaciones, pero todavía faltan detalles sobre el método del ataque y sobre el número exacto de cuentas efectivamente comprometidas.