Trois jours après avoir parlé de métadonnées sans gravité, Chainalysis reconnaissait que les identifiants et les jetons actifs de l'ensemble de ses clients avaient fuité.
La Chainalysis breach, racontée à l'envers
La chronologie se lit mieux dans le désordre, parce que l'entreprise a elle-même corrigé sa version.
Le vendredi, la société décrit un accès obtenu par des attaquants utilisant des outils d'IA, limité à des métadonnées d'identité peu sensibles : noms, adresses e-mail, identifiants utilisateurs, libellés de rôle dans l'organisation.
Le mercredi suivant, la version change. Chainalysis indique avoir découvert le lundi que les noms, les identifiants, les empreintes de mots de passe et les jetons actifs de tous ses utilisateurs avaient été exposés à un acteur malveillant.
Entre les deux, il y a un mot qui explique tout : « tous ».
Ce que vend Chainalysis, et pourquoi l'échelle change tout
Chainalysis vend de l'analyse de blockchain et des outils de conformité. Ses clients sont des forces de l'ordre, des agences gouvernementales, des institutions financières, des assureurs et des entreprises de crypto. Le site de l'entreprise parle de plus de 1 500 clients.
Ce détail transforme un incident SaaS ordinaire en problème de sécurité nationale, ou peu s'en faut. Un jeton d'API valide chez un fournisseur de conformité ne donne pas accès à des photos. Il ouvre des rapports d'enquête, des regroupements d'adresses, des dossiers de vigilance.
Un crypto compliance hack sur ce type de prestataire pose une question que peu d'entreprises se posent avant l'incident : qui, chez le fournisseur, peut lire les dossiers de qui ?
L'attaque on-path derrière la fuite Chainalysis
La formulation technique mérite d'être traduite. Chainalysis parle d'une « on-path attack », ce que le reste du secteur appelle une attaque de l'homme du milieu : l'attaquant s'installe entre deux interlocuteurs et lit ce qui passe.
L'entreprise mentionne aussi des « techniques agentiques offensives » employées par les attaquants. Autrement dit, des outils d'IA mis au service de l'opération. Aucun nom de groupe, aucun pays n'a été avancé, et il faut s'en tenir là.
Les premiers éléments publiés parlaient de métadonnées. La suite parle d'empreintes de mots de passe. Entre les deux, la différence n'est pas cosmétique.
Ce que Chainalysis dit n'avoir pas touché
L'entreprise affirme n'avoir aucune preuve que les attaquants aient accédé aux données du graphe d'enquête, ni qu'ils aient manipulé ses référentiels d'attribution blockchain.
C'est la partie rassurante du communiqué, et elle reste une déclaration de l'entreprise. « Aucune preuve » ne signifie pas « aucune tentative », et une enquête interne peut encore changer la formulation.
La reprise de Chainalysis passe par une liste d'IP
Les mesures prises disent l'ampleur du désordre.
Chainalysis a d'abord verrouillé les comptes et demandé aux utilisateurs de changer de mot de passe avant de se reconnecter. Puis l'entreprise a mis hors ligne son portail de connexion, avec Reactor et Data Solutions, l'interface et l'API de Know-Your-Transaction, et ses produits de filtrage d'adresses, après avoir constaté de nouvelles activités anormales.
Pour rouvrir l'accès, elle demande à chaque client de fournir les adresses IP de confiance à inscrire sur une liste d'autorisation. Une fois l'accès rendu, chaque utilisateur doit changer son mot de passe et faire tourner ses clés d'API avant d'enregistrer la moindre transaction.
Voilà ce que signifie concrètement une Chainalysis outage : pas une page blanche, mais une file d'attente administrative où chaque client doit prouver d'où il se connecte.
Ce que la fuite Chainalysis change pour une équipe conformité
Trois réflexes, dans l'ordre.
Traiter les jetons comme compromis. Une empreinte de mot de passe se casse hors ligne, avec du temps et du matériel. Un jeton d'API, lui, fonctionne jusqu'à sa révocation, et rien ne dit qu'il a été révoqué au bon moment.
Relire les journaux d'accès à la recherche de requêtes inhabituelles, en particulier celles qui sortent des heures de bureau ou des adresses connues.
Préparer la liste d'IP avant la prochaine coupure. Un prestataire qui réclame une allowlist dans l'urgence découvre toujours que la moitié des équipes travaillent depuis un réseau domestique.
Le cadre français ajoute ses délais. Une violation de données personnelles se notifie à la CNIL sous 72 heures, et les prestataires de services sur actifs numériques enregistrés auprès de l'AMF doivent aussi documenter l'incident pour leurs propres clients.
Un mois noir pour la crypto, autour de Chainalysis
L'incident tombe dans une mauvaise passe pour le secteur, sans lien établi avec les deux autres affaires de la semaine.
Ledger a demandé à ses revendeurs asiatiques de retirer des portefeuilles matériels de la vente, le temps d'enquêter sur des incidents d'implants matériels. Binance a affirmé que des pirates nord-coréens avaient volé environ 6,34 milliards de dollars après avoir compromis une infrastructure de portefeuille via un logiciel malveillant installé sur l'ordinateur portable d'un employé.
Trois événements distincts. Une même période.
Ce que Chainalysis entend par « identifiants »
Le résumé de la semaine tient en une formule : Chainalysis credentials stolen, pour tous les comptes à la fois.
La nuance qui compte est dans le dernier mot du communiqué, celui de jeton. Un mot de passe volé se change. Un jeton actif, oublié dans un script de facturation, continue de fonctionner sans bruit pendant des semaines.
Voilà pourquoi la question à poser à ses prestataires n'est pas « avez-vous été piratés ». Elle est : « quels jetons avions-nous chez vous, et comment savez-vous qu'ils sont morts ? »
