Chainalysis confirme l’exposition d’identifiants d’utilisateurs lors d’une cyberattaque et suspend des services clés La société d’analyse de la blockchain Chainalysis a confirmé qu’une récente cyberattaque a exposé des empreintes de mots de passe et des jetons d’authentification actifs de ses utilisateurs, contraignant l’entreprise à mettre hors ligne plusieurs services d’enquête et de données pendant qu’elle analyse l’incident et y remédie. Ce qui s’est passé - Chainalysis a révélé l’intrusion pour la première fois le 30 octobre, indiquant qu’un attaquant externe avait utilisé des « techniques agentiques offensives » pour accéder à des outils internes et aux données des profils clients (identifiants utilisateur, adresses e-mail, noms complets et fonctions au sein des organisations). - Dans une mise à jour du 4 novembre, l’entreprise a élargi le périmètre de l’incident : les enquêteurs ont identifié un vecteur d’attaque supplémentaire — une interception « sur le chemin » — qui a exposé un sous-ensemble de mots de passe clients. Chainalysis affirme avoir circonscrit et corrigé cette méthode et verrouille les comptes concernés. - L’entreprise a confirmé que les empreintes de mots de passe et les jetons actifs de tous les utilisateurs de Chainalysis avaient été exposés à l’acteur malveillant. Elle n’a pas révélé l’algorithme de hachage utilisé ni les types exacts de jetons concernés. Services affectés - Le 2 novembre, Chainalysis a mis hors ligne Reactor (outils d’enquête sur la blockchain) et Data Solutions (flux de données blockchain) pour procéder à des vérifications de sécurité, tout en maintenant le suivi des transactions de conformité. - À la suite d’autres activités suspectes, le 4 novembre, l’entreprise a suspendu l’interface utilisateur et l’API de KYT (Know Your Transaction), ses produits de vérification des adresses et sa page de connexion. - Chainalysis prévoyait un rétablissement par étapes : l’accès à KYT et à Address Screening devait être rétabli le 5 novembre au moyen d’une liste d’autorisation d’adresses IP de clients de confiance. Les clients doivent fournir des adresses IP approuvées pour réinitialiser leurs mots de passe et renouveler leurs clés API. Aucune date de remise en service n’a été communiquée pour Reactor ou Data Solutions. Mesures de sécurité et recommandations aux clients - Chainalysis affirme ne disposer d’aucun élément indiquant que des données d’enquête ont été consultées ou que ses données d’attribution blockchain ont été altérées. - L’entreprise a fait appel à des spécialistes tiers en cybersécurité et utilisé de grands modèles de langage pour soutenir son examen interne. - Les clients concernés sont contactés directement. Chainalysis impose une réinitialisation des mots de passe à tous les utilisateurs et exige, le cas échéant, le renouvellement des clés API. - L’entreprise a conseillé aux utilisateurs de ne pas cliquer sur les liens contenus dans des e-mails non sollicités de réinitialisation de mot de passe, de modifier tout mot de passe réutilisé, d’activer l’authentification à deux facteurs si ce n’est pas déjà fait et de signaler toute communication suspecte ou activité inhabituelle sur leur compte à leurs équipes de sécurité. Contexte général - L’incident survient dans un contexte marqué par une série d’attaques très médiatisées visant la sécurité des cryptomonnaies. Le 29 octobre, des attaquants ont dérobé environ 6,3 milliards de dollars en cryptomonnaies en compromettant une infrastructure de portefeuille liée à Binance — un incident qui, selon Chainalysis, n’a aucun lien avec sa propre intrusion. - Chainalysis a continué à aider d’autres entreprises pendant cette interruption : la société a contribué à coordonner le gel de près de 10 millions de dollars de fonds volés après l’attaque du 2 novembre contre Mercado Bitcoin. - Par ailleurs, Binance a révoqué le 5 novembre des clés API associées à la plateforme de trading tierce SignalPlus, après que le service a signalé un incident de sécurité ; SignalPlus a reconnu que certains comptes concernés ne disposaient pas de la liste blanche d’adresses IP obligatoire. Par mesure de précaution, Binance et Deribit ont désactivé les identifiants associés. Pourquoi c’est important Les empreintes de mots de passe et les jetons actifs exposés créent deux types de risques : les empreintes (selon la robustesse du hachage) peuvent être vulnérables au déchiffrement, tandis que les jetons actifs peuvent permettre d’accéder aux services sans session si ceux-ci sont encore valides. Pour les plateformes d’échange, les institutions financières et les services chargés de l’application de la loi qui s’appuient sur les outils de Chainalysis pour la conformité et les enquêtes, l’interruption de service et l’exposition des identifiants soulèvent à la fois des problèmes opérationnels et de sécurité. Points à suivre - La divulgation par Chainalysis de la méthode de hachage et des formats de jetons utilisés. - Les progrès du rétablissement de Reactor et Data Solutions, ainsi que tout nouvel élément indiquant une compromission d’actifs ou de données. - La coordination continue entre les sociétés d’analyse, les plateformes d’échange et les autorités de régulation face à la vague de cyberattaques visant les cryptomonnaies. Chainalysis continue d’informer ses clients et le marché à mesure que les enquêtes avancent. Pour en savoir plus sur l’actualité générée par l’IA : https://app.chaingpt.org/news