Selon Chainalysis, les pirates ont mis la main sur les hachages de mots de passe et les jetons actifs de chaque utilisateur

Chainalysis a passé une semaine à assurer à ses clients que les dégâts étaient minimes. Or, ce n'était pas le cas.

Dans une mise à jour de son avis d’incident publiée cette semaine, la société d’analyse de chaînes de blocs a indiqué que les noms, noms d’utilisateur, hachages de mots de passe et jetons d’authentification actifs de tous ses utilisateurs avaient été exposés à un pirate. WuBlockchain a signalé cette mise à jour sur X le 6 novembre et a ajouté la partie la plus douloureuse: certains mots de passe en clair ont également été divulgués, via une autre méthode d’attaque.

De « non sensibles » à « tout »

Chainalysis a rendu l’incident public le 30 octobre. Son communiqué sur l’incident de sécurité indiquait qu’un acteur externe avait utilisé des « techniques offensives de type agentique » pour s’introduire dans ses systèmes et ses outils internes. À ce stade, les données exposées comprenaient les identifiants des utilisateurs, leurs noms complets, leurs adresses e-mail et les désignations de leurs rôles au sein de leur organisation. L’entreprise a qualifié ces données de « non sensibles » et a déclaré n’avoir trouvé aucun signe d’accès au contenu des enquêtes, aux identifiants de connexion ou aux jetons de session. Elle a également affirmé, à deux reprises, que l’incident n’avait aucun lien avec le vol subi par Binance.

Cinq jours plus tard, ce tableau s’est effondré. Chainalysis a déclaré avoir découvert le lundi 2 novembre qu’un ensemble plus large de données avait été exposé, et Cointelegraph a rapporté que la société avait initialement fait état de ce changement mercredi. Une mise à jour distincte a indiqué qu’une « attaque de type man-in-the-middle » avait exposé un sous-ensemble de mots de passe de clients, selon BleepingComputer. La société affirme que ce vecteur d’attaque est désormais maîtrisé.

Une date ne correspond pas. Cybernews situe la découverte au mercredi 4 novembre. Le libellé même de Chainalysis, tel que cité par Cointelegraph et BleepingComputer, mentionne le lundi.

Que signifie un « jeton actif »?

Les hachages de mots de passe sont brouillés, illisibles, mais ils peuvent être piratés, et tout utilisateur ayant réutilisé un mot de passe est exposé ailleurs. Les jetons actifs constituent une préoccupation plus importante. Comme l’explique American Banker, un « token » permet à une personne ou à un programme d’agir comme un utilisateur connecté sans avoir à saisir de mot de passe. Chainalysis n’a pas précisé ce qu’un intrus pourrait voir ou modifier à l’aide d’un tel « token ». La société a également refusé de fournir à Cointelegraph des informations allant au-delà du communiqué publié, et n’a pas indiqué si l’attaquant avait été expulsé du système.

La mise hors ligne

Les premiers à avoir été mis hors ligne ont été Reactor, l’outil d’investigation, et Data Solutions, qui intègre les données de Chainalysis dans les systèmes des clients. Plus tard, après avoir détecté une activité anormale, la société a mis hors service KYT (à la fois l’interface et l’API), ainsi que le filtrage d’adresses et la page de connexion, selon The Hacker News. Les comptes concernés ont été verrouillés. Pour certains utilisateurs, il n’était même pas encore possible de réinitialiser leur mot de passe.

Le rétablissement de l’accès nécessite la mise en place d’une liste blanche d’adresses IP, une réinitialisation des mots de passe et une rotation des clés API pour chaque utilisateur. KYT et le filtrage des adresses ont été les premiers à être rétablis. Aucune date de retour n’a été communiquée pour Reactor et Data Solutions.

Pour une équipe chargée de la conformité qui filtre les dépôts via KYT, c’est une semaine difficile. Parmi les clients figurent les forces de l’ordre, les agences gouvernementales, les banques, les assureurs et les entreprises du secteur des cryptomonnaies, note BleepingComputer. Plusieurs d’entre eux ont vu disparaître un outil de filtrage essentiel alors qu’ils attendaient des réponses.

Ce qui importe le plus

Chainalysis ne cesse de répéter qu’elle ne dispose d’aucune preuve indiquant que les données d’enquête aient été consultées ou que ses données d’attribution aient été manipulées. Les données d’attribution sont ce qui relie les adresses à des entités réelles, et si quelqu’un pouvait les modifier discrètement, toute piste s’appuyant sur celles-ci deviendrait suspecte. Cette affirmation revêt donc une grande importance.

Je la lirais tout de même attentivement. « Aucune preuve » était également la position de l’entreprise concernant les identifiants et les jetons le 30 octobre. American Banker a souligné que les révélations plus détaillées sont intervenues cinq jours après cette déclaration. Cela ne rend pas pour autant la déclaration actuelle fausse. Cela signifie simplement que l’enquête est toujours en cours.

L’angle de l’IA

Chainalysis indique constater une recrudescence, à l’échelle du secteur, des attaques menées par l’IA. L’entreprise n’a pas précisé quel outil avait été utilisé, combien de temps l’attaquant est resté infiltré, ni quelles vulnérabilités ont été exploitées. M . Teiss a noté qu’il n’était pas clair si l’attaquant avait utilisé un framework tel qu’ARTEX ou des agents personnalisés.

La tendance générale est toutefois bien réelle. Le site Hacker News cite Chainstack, OpenCode, Warp et WorkOS parmi les entreprises ayant récemment signalé des attaques basées sur l’IA. Microsoft a décrit une campagne au cours de laquelle un agent est passé, en l’espace d’environ cinq minutes, de l’analyse de GitHub à la recherche de secrets exposés à l’extraction de données depuis Azure Key Vault. Aucune information publique ne relie cette campagne à Chainalysis.

Une mauvaise semaine pour la sécurité des cryptomonnaies

Le moment est mal choisi. Binance a perdu environ 6,3 milliards de dollars lors d’une faille de sécurité survenue le 29 octobre, et Chainalysis faisait partie des entreprises aidant la communauté à identifier les responsables. Cette semaine, Binance et Deribit ont également révoqué toutes les clés API liées à la plateforme de trading SignalPlus après que celle-ci eut signalé un problème de sécurité. SignalPlus a par la suite déclaré qu’une fausse invitation Microsoft Teams avait compromis l’ordinateur d’un ingénieur et estimé les pertes à moins de 82 000 dollars. Binance et Deribit ont tous deux affirmé que leurs propres systèmes n’avaient pas été affectés, et Changpeng Zhao a exhorté les traders à révoquer les clés SignalPlus sur d’autres plateformes d’échange.

Aucun de ces incidents n’est lié à Chainalysis. Ensemble, ils montrent à quel point la sécurité de ce secteur repose désormais sur des identifiants de connexion, des jetons et des clés API détenus par des tiers.

Que doivent faire les utilisateurs?

Les clients de Chainalysis doivent s’attendre à une réinitialisation forcée et à changer toutes les clés API que la société leur demandera. Si vous avez réutilisé votre mot de passe Chainalysis ailleurs, modifiez-le également à cet endroit. Considérez tout e-mail de réinitialisation de mot de passe ou toute demande d’authentification inattendue comme une tentative malveillante, ce qui correspond exactement aux recommandations de Chainalysis à ses propres utilisateurs.

Des questions restent sans réponse: combien de clients ont vu leur compte piraté, l’attaquant a-t-il été neutralisé, et quand Reactor sera-t-il de nouveau opérationnel?