🔐 Hackean Chainalysis y acceden a datos de sus clientes

Hackean Chainalysis y acceden a datos de sus clientes​

Chainalysis, es una empresa bastante conocida dentro del mundo de las criptomonedas que se dedica precisamente al análisis de blockchain y al rastreo de transacciones.

La propia compañía ha confirmado que durante octubre detectó que un atacante externo había conseguido acceso no autorizado a sus sistemas y herramientas internas.

Los que normalmente ayudan a seguir el rastro de los movimientos en blockchain han sido los que han tenido al visitante dentro de casa.

¿Qué consiguieron llevarse?​

Según Chainalysis, el atacante pudo acceder a determinados datos de clientes, entre ellos:

• Identificadores de usuario.
• Nombres y apellidos.
• Direcciones de correo electrónico.
• El rol que determinados usuarios tienen dentro de sus organizaciones.

La empresa los califica como datos no sensibles, aunque personalmente un nombre, correo electrónico, empresa y cargo ya me parece información bastante interesante para alguien que quiera preparar un phishing dirigido.

¿También consiguieron contraseñas?​

Aquí viene la parte importante.

Según la investigación realizada hasta ahora, Chainalysis dice que no ha encontrado evidencias de acceso no autorizado al contenido de sus investigaciones, resultados de transacciones o consultas, contraseñas en texto plano, secretos de MFA ni tokens de sesión.

También han avisado a sus clientes y están trabajando con expertos externos en ciberseguridad mientras continúan investigando y reforzando sus sistemas.

Así que tampoco sería correcto decir que han conseguido acceso completo a todo Chainalysis o que han robado las criptomonedas de sus clientes.

Lo confirmado por ahora es el acceso a sistemas internos y la exposición de determinados datos de clientes.

Lo que más me ha llamado la atención: "offensive agentic techniques"​

Chainalysis utiliza literalmente esa expresión para explicar cómo actuó el atacante:

"offensive agentic techniques"

Aquí es donde entra la IA.

Este tipo de técnicas se refiere al uso de sistemas o agentes capaces de ayudar a automatizar diferentes pasos de un ataque, por ejemplo analizar objetivos, buscar vulnerabilidades o encadenar determinadas acciones con mucha menos intervención humana.

Pero hay que hacer una aclaración importante:

Chainalysis no ha explicado públicamente qué herramienta utilizaron los atacantes, qué vulnerabilidad explotaron ni hasta qué punto intervino realmente la IA en la intrusión.

Por tanto, decir simplemente "una IA hackeó Chainalysis" sería pasarse bastante con el titular 😂

Lo que sí dice la compañía es que está observando un aumento general de los ciberataques impulsados por IA y que está reforzando sus sistemas teniendo en cuenta precisamente este nuevo escenario.

Y esto probablemente sea lo más interesante de todo el asunto.

La IA no está inventando necesariamente ataques completamente nuevos. Muchas veces lo que permite es hacer cosas que ya se hacían antes, pero más rápido, de forma más automatizada y a una escala mucho mayor.

Y no, esto no es el hackeo de Binance​

Por si alguien lo relaciona con las noticias que han salido estos días sobre Binance, la propia Chainalysis ha aclarado que este incidente no está relacionado con el reciente robo de criptomonedas de Binance.

Son incidentes diferentes.

Lo curioso es que Chainalysis precisamente trabaja siguiendo movimientos de criptomonedas y ayudando en investigaciones de este tipo.

Fuentes:​

Comunicado oficial de Chainalysis sobre el incidente:
Chainalysis Security Incident Information

The Hacker News:
Chainalysis Confirms Intrusion Into Internal Tools and Exposure of Customer Identity Data

Abnormal AI - explicación sobre ciberataques apoyados por IA:
¿Qué son los ciberataques habilitados por IA?

De momento Chainalysis sigue investigando, así que habrá que ver si en los próximos días explican por dónde consiguieron entrar y qué significan exactamente esas "offensive agentic techniques" en este ataque.

Porque esa es precisamente la parte interesante que todavía no han contado.

Lo de los roles me parece especialmente delicado. Una lista de correos permite mandar una campaña masiva; saber además quién administra una cuenta o qué función tiene dentro de una empresa permite preparar un engaño mucho más convincente. Yo tampoco trataría esos datos como inofensivos.

El riesgo no termina en que alguien pulse un enlace. Con ese contexto pueden intentar convencer a soporte de que necesitan recuperar el acceso, cambiar el segundo factor o autorizar algo urgente. Que el mensaje conozca tu nombre y tu cargo deja de servir como señal de confianza.

En una organización afectada avisaría también al equipo que tramita esas solicitudes. Una petición de cambiar MFA o recuperar una cuenta tendría que verificarse por un canal conocido, iniciado por nosotros, sin utilizar el teléfono o enlace que venga en el propio mensaje. Activar 2FA ayuda, pero hay que cuidar también cómo se recupera y quién puede modificarlo.

Con la parte de la IA esperaría a que publiquen el recorrido del ataque. La expresión que usan no permite saber qué hizo un agente ni qué controles fallaron. Eso último me interesa más que el nombre del modelo: qué acceso obtuvo y hasta dónde pudo avanzar con él.

Dejo el comunicado directo para seguir las actualizaciones del alcance: