La brecha de Chainalysis, atribuida a técnicas agénticas, expuso hashes de contraseñas y tokens activos de todos sus usuarios

El 30 de octubre de 2026, la empresa de análisis de blockchain Chainalysis informó que un actor externo había logrado acceso a sus sistemas y herramientas internas. Su correo a los clientes dijo que el intruso usó "offensive agentic techniques" (técnicas agénticas ofensivas), pero no definió el término, no nombró ninguna herramienta ni afirmó de forma directa que agentes de IA ejecutaran el ataque. El mismo correo vincula su refuerzo de seguridad con un aumento de los ataques impulsados por IA y dice que usa modelos de lenguaje grandes en su propia revisión. En ese momento, Chainalysis solo reportó acceso a ID de usuario, nombres completos, correos electrónicos y etiquetas de rol en la organización, sin evidencia de que se hubieran tomado contraseñas, secretos de MFA ni tokens de sesión.

El incidente creció la semana siguiente. El 2 de noviembre, Chainalysis desconectó Reactor y Data Solutions como precaución. El 4 de noviembre dijo que un ataque de intermediario (on-path) había expuesto un subconjunto de contraseñas de clientes y bloqueó esas cuentas; luego desconectó KYT, sus productos de revisión de direcciones y la página de inicio de sesión tras detectar actividad anormal. Esa misma noche informó que se habían expuesto nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios de Chainalysis, algo que descubrió el 2 de noviembre. Agregó que algunas cuentas de KYT parecen haber sido accedidas sin autorización y que está contactando directamente a esos clientes, y dijo no tener evidencia de que se leyeran datos de investigaciones ni se alteraran datos de atribución.

En su actualización del 6 de noviembre, Chainalysis dijo que el acceso a KYT y Address Screening se estaba restableciendo por fases. Los clientes deben enviar direcciones IP de confianza para una lista de permitidas, y cada usuario tiene que restablecer su contraseña y, cuando aplique, rotar sus claves de API antes de registrar transacciones. Reactor y Data Solutions seguían desconectados, sin fecha de regreso. La empresa no ha nombrado al atacante, no ha publicado cuántos usuarios resultaron afectados ni ha dicho si revocó los tokens expuestos, y afirma que el incidente no tiene relación con el robo reciente a Binance.