Chainalysis confirmó que un atacante se llevó credenciales y tokens vivos de todos sus clientes. Sus productos siguen fuera de servicio y no hay fecha de vuelta.
Cómo se contó el Chainalysis breach
La historia se leyó al revés. El viernes, Chainalysis habló de un acceso limitado a metadatos de identidad: nombres, correos, identificadores de usuario y etiquetas de rol.
El miércoles, la versión cambió. La empresa dijo que había descubierto el lunes que nombres, nombres de usuario, hashes de contraseña y tokens vivos de todos sus usuarios habían quedado expuestos.
Entre las dos fechas hay un patrón conocido: primero lo mínimo, después lo que aparece en la investigación. BleepingComputer y Ars Technica publicaron el detalle el 6 de noviembre.
Por qué un crypto compliance hack pesa más
Chainalysis no vende software a particulares. Vende análisis de blockchain y herramientas de cumplimiento a policía, agencias de gobierno, bancos, aseguradoras y empresas cripto. Su web habla de más de 1.500 clientes.
Un directorio de usuarios filtrado en un SaaS cualquiera es molesto. El mismo directorio en un proveedor de compliance dice qué institución investiga qué, y con qué herramienta.
Con esa lista, un atacante sabe qué banco usa Reactor, qué exchange depende de las alertas de dirección y qué agencia sigue un caso concreto, sin necesidad de tocar los datos de la investigación.
De ahí que el resumen que circula entre clientes sea Chainalysis credentials stolen y no una incidencia menor. Lo que se llevaron incluye tokens vivos, no solo contraseñas.
El ataque on-path y las técnicas agénticas
La empresa habla de un ataque on-path, que en la práctica es un intermediario situado entre el usuario y el servicio. No hace falta romper el cifrado: se recoge lo que pasa.
Un ataque de este tipo se monta cerca de la infraestructura del proveedor, no dentro de la cuenta de cada cliente, y por eso un solo movimiento puede alcanzar a la base entera.
En la primera nota mencionó que los atacantes usaban herramientas de IA y lo llamó técnicas agénticas ofensivas. Es una descripción del método, no una atribución. Chainalysis no ha nombrado a nadie.
Tampoco ha dicho cuántas cuentas se vieron comprometidas más allá de todas. Esa vaguedad, en un proveedor que vende trazabilidad, tiene su ironía.
Qué dice Chainalysis que no tocaron
Dos cosas, y son las que sostienen el negocio. La empresa afirma que no tiene evidencia de que se accediera a los datos del grafo de investigación ni de que se manipularan sus repositorios de atribución de blockchain.
Es una afirmación sobre evidencia, no una garantía. Y llega en un comunicado que ya cambió dos veces de alcance.
La lectura razonable: si tus informes de atribución siguen cuadrando, el daño está en el acceso, no en los datos.
El Chainalysis outage: portal, Reactor y Data Solutions
El servicio se cayó por partes. Primero bloquearon cuentas y pidieron cambiar contraseñas antes de volver a entrar.
Después, tras detectar más actividad anómala, apagaron el portal de acceso junto con Reactor y Data Solutions, la interfaz y la API de Know-Your-Transaction, y los productos de cribado de direcciones.
Es decir, el núcleo operativo. Un despacho que necesita revisar una transacción hoy no puede.
El resumen que usan los clientes en sus alertas internas es Chainalysis outage, y no es una exageración.
Cómo se recupera el acceso
El procedimiento tiene tres pasos y ninguno es automático. Primero, cada cliente envía sus direcciones IP de confianza para entrar en una lista de permitidos.
El detalle de la lista sugiere que la empresa prefiere cortar el acceso del todo antes que arriesgar otra sesión abierta con credenciales que ya circulan por ahí.
Cuando se concede el acceso, cada usuario debe restablecer su contraseña y rotar las claves de API antes de registrar transacciones.
El orden importa. Si rotas la clave después de registrar, has firmado con una credencial que estuvo expuesta.
No hay fecha de vuelta a la normalidad. La empresa no la ha dado y no conviene inventarla.
Qué hacer si tienes cuenta en Chainalysis
Cambia la contraseña aunque ya la hayas cambiado. Revisa si es la misma que usas en otro sitio y ciérrala allí también.
Rota claves de API y busca llamadas raras en los registros de las últimas semanas. Un token vivo permite leer sin dejar rastro de contraseña.
Y revisa los permisos. Si un usuario tenía acceso de administrador por comodidad, este es el momento de quitárselo. ¿Cuántas integraciones de tu equipo siguen usando una clave que nadie recuerda haber creado?
El mal mes de la seguridad cripto
El incidente no viene solo. Ledger pidió a distribuidores asiáticos que retiraran productos de monedero mientras investigaba implantes en hardware.
Binance dijo que hackers norcoreanos robaron unos 6.340 millones de dólares tras comprometer la infraestructura de monederos con malware en el portátil de un empleado.
Son episodios separados, sin relación con Chainalysis. Juntos explican por qué el sector está revisando proveedores con lupa.
La parte incómoda no es que robaran contraseñas. Es que robaran tokens, y que el proveedor tardara tres días en decir cuánto había sido.
