- Chainalysis confirma exposição de hashes de senhas e tokens de todos os usuários
- KYT e triagem de endereços retomam acesso em etapas, com restrições por IP
- Reactor e Data Solutions continuam sem acesso durante reforço de segurança
A Chainalysis, uma das maiores empresas de investigação e rastreamento de criptomoedas do mundo, confirmou que dados de autenticação de seus usuários foram comprometidos em um ataque hacker de grandes proporções. Segundo comunicado atualizado pela companhia, criminosos tiveram acesso a informações que incluem nomes, nomes de usuário, hashes de senhas e tokens de autenticação ainda válidos relacionados a todos os usuários da plataforma.
A revelação foi publicada em uma atualização do comunicado oficial de segurança da Chainalysis, na noite de quarta-feira (4). A empresa também confirmou que um segundo mecanismo de ataque permitiu a exposição direta das senhas de parte dos clientes, levando ao bloqueio preventivo de contas e à interrupção de ferramentas utilizadas por exchanges, instituições financeiras e autoridades policiais.
O incidente chama atenção porque a Chainalysis é especializada justamente em identificar transações suspeitas, investigar crimes envolvendo Bitcoin e outras criptomoedas e fornecer informações para investigações conduzidas por autoridades de diferentes países. Apesar da gravidade do vazamento, a companhia afirma que não encontrou evidências de acesso aos dados de suas investigações ou de manipulação das informações utilizadas para identificar endereços e transações em blockchain.
Hackers tiveram acesso a credenciais e tokens válidos dos usuários
A Chainalysis revelou inicialmente o incidente em 30 de outubro, quando informou que um agente externo havia conseguido acessar sistemas internos utilizando técnicas ofensivas chamadas de agentic techniques. A expressão descreve abordagens que podem envolver ferramentas automatizadas capazes de executar diferentes etapas de uma invasão.
Na primeira comunicação, a empresa afirmou que o ataque havia comprometido informações cadastrais, incluindo identificadores de usuários, nomes completos, endereços de e-mail e cargos dentro das organizações clientes. Naquele momento, a companhia declarou que não havia identificado exposição de credenciais de autenticação ou tokens de sessão.
Entretanto, o avanço das investigações revelou um cenário mais grave. Em uma atualização publicada em 4 de novembro, a Chainalysis confirmou que nomes, nomes de usuário, hashes de senhas e tokens ativos relacionados a todos os usuários haviam sido expostos a um agente malicioso. A empresa não informou o número total de contas envolvidas nem esclareceu se todas as categorias de dados foram comprometidas individualmente para cada usuário.
Os hashes de senha são representações criptográficas utilizadas para armazenar credenciais sem manter necessariamente a senha original em formato legível. Embora essa proteção dificulte a recuperação das senhas, determinadas técnicas podem permitir que criminosos descubram combinações vulneráveis, dependendo do algoritmo empregado e da complexidade das credenciais.
O comprometimento de tokens ativos representa outro risco. Esses códigos são utilizados para autenticar sessões e permitir acesso a serviços. Dependendo de sua finalidade, validade e das proteções implementadas, um token roubado pode permitir que um invasor tente acessar uma conta sem precisar conhecer a senha original.
A Chainalysis não detalhou quais tipos de tokens foram comprometidos ou quais mecanismos de proteção estavam associados a eles.
Ataque também expôs senhas diretamente e obrigou empresa a bloquear contas
Além dos dados de autenticação, a investigação identificou um mecanismo conhecido como ataque on-path, no qual um criminoso consegue interceptar comunicações entre usuários e sistemas.
A Chainalysis confirmou que esse método permitiu a exposição das senhas de um grupo de clientes. Diferentemente do vazamento de hashes armazenados, a interceptação de credenciais durante a autenticação pode comprometer diretamente as informações utilizadas para acessar uma conta.
O comunicado não esclarece o formato exato em que essas senhas foram capturadas, mas confirma que os usuários atingidos foram comunicados individualmente e orientados a alterar suas credenciais. A companhia afirmou que a vulnerabilidade relacionada a esse mecanismo de interceptação já havia sido contida e corrigida.
A empresa também decidiu bloquear preventivamente as contas afetadas, mesmo sem identificar, naquele momento, evidências de acesso indevido a todas elas. Os clientes receberam orientações para alterar senhas utilizadas em outros serviços caso tivessem reutilizado as mesmas credenciais.
- Leia também: Uma das maiores exchanges da Coreia do Sul supende saques, trade e depósitos após ameaça hacker
Posteriormente, o monitoramento de segurança identificou atividades anormais envolvendo outros produtos da plataforma. A Chainalysis informou que algumas contas associadas ao serviço Know Your Transaction (KYT) apresentaram indícios de acesso não autorizado, e que os clientes potencialmente afetados estavam sendo notificados diretamente.
A identidade dos responsáveis pelo ataque não foi divulgada. Também não foi confirmado se todos os mecanismos de invasão identificados foram executados pelo mesmo grupo criminoso.
Chainalysis suspende ferramentas usadas para rastrear criptomoedas
A gravidade do incidente levou a empresa a interromper temporariamente diferentes serviços utilizados no monitoramento e na investigação de transações com ativos digitais.
Entre os produtos afetados estão o Chainalysis Reactor, ferramenta utilizada para investigar movimentações de criptomoedas e rastrear fluxos financeiros, e o Data Solutions, que fornece informações e análises sobre atividades em blockchain.
Inicialmente, a Chainalysis manteve em funcionamento suas soluções de monitoramento de transações, consideradas importantes para que exchanges e instituições financeiras identifiquem operações potencialmente relacionadas à lavagem de dinheiro.
Entretanto, após detectar atividades suspeitas adicionais, a companhia também retirou do ar a interface e a API do KYT, além de ferramentas de verificação de endereços e da página de autenticação.
Na manhã desta sexta-feira (6), a Chainalysis informou que começou a restaurar gradualmente o acesso aos serviços KYT e Address Screening. A recuperação está sendo realizada em etapas, com validação de controles adicionais de segurança antes da liberação para os clientes.
Como parte do processo, a empresa passou a exigir que os usuários redefinam suas senhas e, quando aplicável, substituam suas chaves de API. Também foi implementada uma lista de endereços IP confiáveis para restringir o acesso aos serviços durante a recuperação.
As plataformas Reactor e Data Solutions ainda estavam passando por avaliações de segurança na atualização divulgada nesta sexta-feira, sem prazo definitivo informado para o restabelecimento completo.
Empresa investiga uso de ferramentas automatizadas no ataque
Um dos aspectos mais preocupantes do incidente envolve a possível utilização de técnicas automatizadas avançadas para comprometer os sistemas da Chainalysis.
A companhia afirmou que identificou um agente externo utilizando técnicas ofensivas de caráter agêntico para obter acesso não autorizado a sistemas e ferramentas internas. Entretanto, não apresentou detalhes técnicos suficientes para determinar quais ferramentas foram utilizadas ou qual foi exatamente o papel da inteligência artificial na invasão.
O episódio acontece em um momento de aumento dos ataques cibernéticos que utilizam IA para identificar vulnerabilidades, procurar credenciais expostas e automatizar etapas de exploração de sistemas.
A Chainalysis informou que contratou especialistas externos em segurança cibernética e também está utilizando modelos avançados de linguagem para revisar sua própria infraestrutura e fortalecer os mecanismos de proteção.
A empresa ressaltou ainda que não identificou relação entre o incidente e o ataque contra a Binance registrado em 29 de outubro, afastando, até o momento, uma ligação entre os dois episódios.
Apesar da exposição de credenciais e das interrupções operacionais, a Chainalysis sustenta que não encontrou evidências de comprometimento das informações de investigações, incluindo gráficos, casos e registros utilizados por seus clientes.
A companhia também afirma não ter identificado alterações maliciosas nos dados de atribuição, utilizados para associar endereços e movimentações de criptomoedas a entidades específicas.
O incidente permanece sob investigação, enquanto a empresa trabalha para restaurar completamente seus produtos e determinar a extensão do comprometimento.
Para os clientes, a principal orientação é utilizar exclusivamente os canais oficiais da Chainalysis, redefinir as credenciais quando o acesso for liberado e revisar outras contas que compartilhem senhas com a plataforma.
