La brecha de Chainalysis dejó contraseñas y tokens expuestos de todos los usuarios de la plataforma, y ese dato cambia la historia que la propia empresa contó el 30 de octubre. Aquel día aseguró que no había pruebas de acceso a credenciales ni a tokens de sesión.
El archivo del sitio guardó esa primera versión en la la nota del 31 de octubre sobre el ataque con agentes de IA a Chainalysis: identificadores, nombres, correos y roles de las organizaciones. El lunes 2 de noviembre la empresa descubrió otra cosa: nombres, nombres de usuario, hashes de contraseñas y tokens vivos de cada usuario quedaron expuestos a un actor malicioso.
De un directorio con correos a las llaves de cada cuenta
Un hash no es la contraseña en texto claro. Es la huella cifrada que el sistema guarda para comprobarla al entrar, y su robo permite probar millones de combinaciones fuera de línea contra las claves débiles o repetidas. El token vivo pesa más en lo inmediato: una credencial activa puede mantener abierta una sesión o un acceso programado sin escribir contraseña alguna mientras nadie la revoque.
El ataque original ocurrió en octubre. Un actor externo usó lo que Chainalysis llama técnicas ofensivas con agentes, inteligencia artificial que ejecuta pasos de intrusión, para entrar a sistemas y herramientas internas. La empresa avisó a todos sus clientes, trajo expertos externos de ciberseguridad y aclaró que el incidente no tiene relación con el robo de unos US$6.300 millones a Binance.
Miércoles 4 por la mañana llegó otro aviso, más estrecho y más serio. Un grupo de clientes recibió un correo donde la compañía confirmaba que un ataque en ruta expuso las contraseñas de ese grupo: alguien interceptó el tráfico entre el usuario y el servicio. Ese vector quedó contenido y corregido, las cuentas afectadas quedaron bloqueadas y la orden fue cambiar la clave entrando directo a la página habitual de acceso, nunca desde enlaces llegados por correo.
Horas después, la actividad anormal obligó a apagar más piezas. KYT, la herramienta de revisión de transacciones contra el lavado de dinero, cerró en su interfaz y en su interfaz de programación (API); otros productos de verificación de direcciones y la propia página de acceso también quedaron fuera de línea. En ese momento ni siquiera era posible restablecer la contraseña dentro de la plataforma.
La actualización de las 11:00 de la noche del 4 de noviembre sumó el punto que faltaba: la empresa está avisando de forma directa a los clientes cuyas cuentas de KYT aparentan accesos sin autorización. Chainalysis mantiene que no tiene pruebas de acceso a datos de investigaciones ni de manipulación de sus datos de atribución, el material que conecta direcciones de criptomonedas con personas y grupos.
Ese matiz importa por el tipo de cliente que usa estas herramientas. Policías, agencias de gobierno, bancos y casas de cambio siguen con ellas el rastro del dinero en redes de criptomonedas, en casos de fraude, rescate de datos y lavado. Una cuenta ajena abierta en ese sistema no es un perfil social robado: puede mirar movimientos que forman parte de pesquisas reales.
KYT regresa por fases y Reactor sigue apagado
Este viernes 6 de noviembre, a las 3:30 de la madrugada hora del este, llegó la vuelta parcial. Chainalysis empezó a restablecer KYT y Address Screening por fases, con más clientes recuperando acceso en las horas siguientes, revisando cada etapa y validando los controles reforzados antes de ampliar el paso.
El regreso trae tarea para cada organización cliente. Primero, enviar las direcciones IP de confianza para la lista de permitidos, al correo de soporte o al equipo de cuenta. Después, al recibir el acceso, cambiar la contraseña y rotar las claves de la API antes de registrar transacciones. Sin esos dos pasos, el servicio no se usa.
Reactor y Data Solutions siguen fuera de línea. Reactor es la mesa de investigación donde los analistas arman grafos de movimientos; Data Solutions alimenta datos a sistemas de los clientes. La empresa dice que trabaja sin pausa con sus expertos externos para endurecer ambos productos y devolverlos de forma segura, sin fecha publicada para ese regreso.
Para cualquier lector con cuentas en casas de cambio o billeteras, la parte aprovechable del caso es concreta. Una contraseña repetida en otro servicio convierte la brecha de Chainalysis en llave maestra, y la propia Chainalysis pidió en su primer aviso activar la verificación en dos pasos y desconfiar de solicitudes de cambio de clave que lleguen sin pedirlas. El correo del 4 de noviembre repitió la misma orden para los afectados del ataque en ruta: cambiar también esa clave en todo servicio donde se repita.
La empresa no ha publicado cómo entró el actor en octubre, ni indicadores técnicos para que otros busquen la misma huella en sus redes. Su página del incidente promete nuevas actualizaciones mientras avanza la restauración, y el dato que los clientes de Reactor miran este viernes es uno solo: la fecha en que su herramienta de investigación vuelva a abrir.
Fuente: Chainalysis
