Chainalysis admite que expuso hashes de claves y tokens de todos sus usuarios

Chainalysis, la firma de análisis de cadenas de bloques que rastrea el robo a Binance, informó que los nombres, los usuarios, los hashesHuella digital de un archivo o de un dato, un código de largo fijo calculado a partir de su contenido. Si el archivo cambia, aunque sea un byte, el hash cambia, por eso sirve para identificarlo. de las contraseñas y los "tokensUnidad mínima de texto que procesa un modelo de lenguaje, como una palabra, parte de una palabra o un signo. Se usa para medir cuánto lee y escribe un modelo y para cobrar su uso. activos" de todos sus usuarios quedaron expuestos a un atacante. Lo dijo en una actualización de su aviso de seguridad del miércoles 4 de noviembre a las 23:00 de la costa este de Estados Unidos, las 04:00 UTC del jueves 5 (01:00 en Buenos Aires y São Paulo, 23:00 del miércoles en Bogotá y Lima, 22:00 en Ciudad de México).

Cinco días antes, la empresa había asegurado que no tenía pruebas de acceso a credenciales ni a tokens de sesión. Además, algunas cuentas de KYT, su servicio para detectar si un pago cripto viene de un robo o de una red de lavado, parecen haber sido usadas sin autorización, y Chainalysis avisa en forma directa a esos clientes.

Cinco días, tres versiones

El primer aviso, del 30 de octubre, hablaba de un atacante que usó "técnicas agénticas ofensivas" y que solo vio identificadores, nombres, correos y cargos, como contó LatamByte. El lunes 2 de noviembre la empresa apagó por precaución Reactor, su herramienta de investigación, y Data Solutions.

El miércoles 4 a las 14:50 UTC describió "un ciberataque en curso en múltiples frentes" y reconoció que un ataque de intermediarioAtaque en el que alguien se ubica entre el usuario y el servicio al que se conecta para leer o cambiar lo que viaja entre ambos, como contraseñas o códigos. En inglés se lo llama on-path o man-in-the-middle., en el que alguien se mete entre el usuario y el servicio para leer lo que viaja, expuso las contraseñas de una parte de sus clientes. Cuarenta minutos después sacó de línea KYT, otros productos de control de direcciones y la página de inicio de sesión por "actividad anormal". Por la noche llegó la frase sobre todos los usuarios.

Chainalysis no dijo qué son esos tokens activos, cómo guardaba las contraseñas ni si los hashes se pueden romper, cuántos usuarios hay detrás de "todos" ni quién es el atacante, señaló The Record. Un vocero respondió que no comparte más de lo que dice el blog. Si fueran tokens de sesión o llaves de APISigla en inglés de interfaz de programación de aplicaciones: conjunto de reglas que permite que un programa le pida datos o funciones a otro de manera estandarizada. vigentes, quien los tenga podría entrar sin conocer la contraseña, con un secuestro de sesiónAtaque en el que alguien obtiene el identificador de una sesión abierta, como una cookie, y lo usa para hacerse pasar por el usuario sin conocer su contraseña., algo que la empresa no confirmó.

La empresa sostiene que no tiene pruebas de que el atacante haya visto datos de investigaciones ni de que haya alterado sus atribuciones, es decir, qué billetera pertenece a quién. También repite que el incidente no tiene relación con el robo a Binance, y no hay ninguna prueba pública que diga lo contrario.

El monitoreo sigue apagado

Chainalysis planeaba reabrir KYT y su control de direcciones el jueves 5. A las 03:04 UTC del viernes 6, su página de estado seguía mostrando en mantenimiento KYT, Reactor, el control de direcciones y los productos de investigación, sin fecha de regreso.

Bancos y empresas cripto usan KYT para saber si un pago está ligado a un robo, a sanciones o a lavado, y la caída llegó justo cuando la industria intenta frenar la salida del botín de Binance, destacó American Banker. Chainalysis dice tener más de 1.500 clientes en 70 países, entre ellos fuerzas de seguridad, reguladores y bancos, y no informó cuántos bancos usan sus productos ni si alguna cuenta bancaria fue tocada.

En Latinoamérica, el exchange Bitso, nacido en México, figura en la página de clientes de Chainalysis como usuario de KYT, y los Ministerios Públicos de Río de Janeiro y Santa Catarina, en Brasil, adoptaron Reactor en agosto de 2025, como recordó LatamByte en su nota anterior. Ni Chainalysis ni esas organizaciones informaron si alguna de sus cuentas está entre las afectadas.

Qué piden a los clientes

Todos los usuarios deben cambiar la contraseña y renovar sus llaves de API. Para recuperar el acceso a KYT, cada cliente tiene que registrar antes las direcciones IP desde las que se conecta, para que solo esas puedan entrar. Chainalysis pide entrar siempre por la página de inicio de sesión y no desde enlaces de correos de cambio de contraseña, una vía habitual de phishingEngaño por correo, mensaje o sitio falso que imita a una entidad conocida para que la víctima entregue claves o datos o instale un programa. El dirigido se arma a la medida de una persona., y cambiar la clave en cualquier otro servicio donde se haya repetido.

eSecurity Planet sumó otras medidas para los equipos de cumplimiento. Revisar los registros de acceso y de uso de la API, mantener la verificación en dos pasosMétodo de acceso que pide, además de la contraseña, un segundo dato, como un código temporal en el celular o una llave física. Si roban la clave, no alcanza para entrar., confirmar que las sesiones viejas se cerraron y volver a revisar los pagos que pasaron sin control mientras KYT estuvo caído.

Reactor y Data Solutions volverán recién cuando la empresa termine de reforzarlos, sin fecha prometida.