Chainalysis confirme l’exposition d’identifiants d’utilisateurs lors d’une cyberattaque et suspend des services clés La société d’analyse de la blockchain Chainalysis a confirmé qu’une récente cyberattaque a exposé les hachages de mots de passe et les jetons d’authentification actifs de ses utilisateurs, obligeant l’entreprise à mettre hors ligne plusieurs services d’enquête et de données pendant qu’elle analyse l’incident et y remédie. Ce qui s’est passé - Chainalysis a révélé l’intrusion pour la première fois le 30 octobre, indiquant qu’un attaquant externe avait utilisé des « techniques agentiques offensives » pour accéder à des outils internes et aux données de profil des clients (identifiants utilisateur, adresses e-mail, noms complets et fonctions au sein des organisations). - Dans une mise à jour du 4 novembre, l’entreprise a élargi le périmètre de l’incident : les enquêteurs ont identifié un vecteur d’attaque supplémentaire — une interception « sur le chemin » — qui a exposé une partie des mots de passe des clients. Chainalysis indique avoir endigué et corrigé cette méthode et verrouiller les comptes concernés. - L’entreprise a confirmé que les hachages de mots de passe et les jetons actifs de tous les utilisateurs de Chainalysis ont été exposés à l’acteur malveillant. Elle n’a pas indiqué l’algorithme de hachage utilisé ni les types exacts de jetons concernés. Services concernés - Le 2 novembre, Chainalysis a mis hors ligne Reactor (outils d’enquête sur la blockchain) et Data Solutions (flux de données blockchain) pour procéder à des contrôles de sécurité, tout en maintenant le service de surveillance des transactions à des fins de conformité. - À la suite d’autres activités suspectes, le 4 novembre, l’entreprise a suspendu l’interface utilisateur et l’API de KYT (Know Your Transaction), ses produits de vérification d’adresses ainsi que sa page de connexion. - Chainalysis prévoyait une remise en service progressive : l’accès à KYT et à Address Screening devait être rétabli le 5 novembre au moyen d’une liste d’autorisation d’adresses IP de clients de confiance. Les clients doivent fournir des adresses IP approuvées pour réinitialiser leurs mots de passe et renouveler leurs clés API. Aucune date de remise en service n’a été communiquée pour Reactor ou Data Solutions. Mesures de sécurité et recommandations aux clients - Chainalysis affirme ne disposer d’aucun élément indiquant que des données d’enquête ont été consultées ou que ses données d’attribution sur la blockchain ont été modifiées. - L’entreprise a fait appel à des spécialistes tiers en cybersécurité et utilisé des grands modèles de langage pour appuyer son enquête interne. - Les clients concernés sont contactés directement. Chainalysis impose la réinitialisation des mots de passe à tous les utilisateurs et exige, le cas échéant, le renouvellement des clés API. - L’entreprise a recommandé aux utilisateurs de ne pas cliquer sur les liens contenus dans des e-mails non sollicités de réinitialisation de mot de passe, de modifier tout mot de passe réutilisé, d’activer l’authentification à deux facteurs si ce n’est pas déjà fait et de signaler toute communication ou activité de compte suspecte à leurs équipes de sécurité. Contexte général - L’incident survient dans un contexte de série d’attaques très médiatisées visant le secteur des cryptomonnaies. Le 29 octobre, des attaquants ont dérobé environ 6,3 milliards de dollars en cryptomonnaies en compromettant une infrastructure de portefeuilles liée à Binance — un incident qui, selon Chainalysis, n’a aucun lien avec sa propre intrusion. - Chainalysis a continué à aider d’autres entreprises pendant la perturbation : elle a contribué à coordonner le gel de près de 10 millions de dollars de fonds volés après l’attaque du 2 novembre contre Mercado Bitcoin. - Par ailleurs, Binance a révoqué le 5 novembre les clés API liées à la plateforme de trading tierce SignalPlus après que le service a signalé un incident de sécurité ; SignalPlus a reconnu que certains comptes concernés ne disposaient pas de la liste blanche d’adresses IP obligatoire. Binance et Deribit ont désactivé par précaution les identifiants associés. Pourquoi c’est important L’exposition des hachages de mots de passe et des jetons actifs crée deux types de risques d’attaque : les hachages peuvent être vulnérables au craquage, selon leur robustesse, et les jetons actifs peuvent permettre d’accéder aux services sans session si ceux-ci sont encore valides. Pour les plateformes d’échange, les institutions financières et les organismes chargés de l’application de la loi qui s’appuient sur les outils de Chainalysis pour assurer la conformité et mener des enquêtes, l’interruption de service et l’exposition des identifiants soulèvent des préoccupations à la fois opérationnelles et sécuritaires. Points à suivre - Si Chainalysis divulguera la méthode de hachage et les formats de jetons utilisés. - Les progrès de la remise en service de Reactor et Data Solutions, ainsi que tout nouvel élément indiquant une compromission d’actifs ou de données. - La coordination continue entre les sociétés d’analyse, les plateformes d’échange et les autorités de réglementation face à la vague de cyberattaques visant le secteur des cryptomonnaies. Chainalysis continue d’informer ses clients et le marché au fur et à mesure de l’avancement des enquêtes. Pour lire d’autres actualités générées par l’IA : https://app.chaingpt.org/news