Chainalysis affirme qu'un acteur externe a utilisé des « techniques agentiques offensives » pour atteindre ses outils internes

Chainalysis a révélé l'incident le 30 octobre dans une notice destinée à ses clients et dans un billet de blog intitulé « Chainalysis Security Incident Information ». L'entreprise indique qu'un acteur externe a employé des « techniques agentiques offensives » pour obtenir un accès non autorisé à ses systèmes et à ses outils internes au cours du mois d'octobre. L'attaquant a consulté des identifiants d'utilisateurs, des noms complets, des adresses e-mail et des libellés de fonction au sein des organisations, pour les comptes créés sur la plateforme. Chainalysis qualifie ces enregistrements de données clients non sensibles.

Ce qui a été consulté

Chainalysis vend ses services à plus de 1 500 clients, dont des services de police, des administrations fiscales, des banques, des régulateurs et des plateformes d'échange de cryptomonnaies. L'entreprise affirme fournir des données, des logiciels et des analyses à des organisations dans plus de 70 pays. Un nom vérifié, une adresse e-mail professionnelle et un libellé de fonction peuvent aider un attaquant à adapter un message de hameçonnage à un enquêteur ou à un responsable de conformité d'une agence ou d'une banque identifiée.

L'entreprise n'a pas précisé combien d'utilisateurs ou d'organisations étaient concernés. Elle n'a pas identifié l'attaquant, ni les failles exploitées, ni la durée pendant laquelle l'intrus a eu accès aux systèmes. Aucun élément public ne montre pour l'instant qu'une campagne de hameçonnage exploitant ces données a été lancée.

Ce que Chainalysis dit n'avoir pas été dérobé

Chainalysis affirme n'avoir trouvé aucune trace d'un accès au contenu des enquêtes. Cela couvre les graphes, les notes et les dossiers. L'entreprise dit la même chose des résultats de transactions et de requêtes, des mots de passe en clair, des secrets d'authentification multifacteur et des jetons de session. Elle précise que ces conclusions restent préliminaires tant que l'enquête se poursuit.

Chainalysis cherche encore à déterminer quels enregistrements ont été consultés chez chaque client. L'entreprise prévoit d'envoyer à chaque organisation le détail qui la concerne une fois cette analyse terminée.

Le volet agentique

Chainalysis n'a pas communiqué de détails techniques sur l'intrusion. Elle n'a pas indiqué quelles failles ont été exploitées, quels outils internes ont été atteints, ni combien de temps l'attaquant est resté. BleepingComputer rapporte qu'on ignore si l'attaquant a utilisé un cadre agentique existant comme ARTEX ou des agents d'IA développés sur mesure.

Le terme agentique désigne des systèmes d'IA capables d'enchaîner des tâches en plusieurs étapes avec une intervention humaine limitée. Un attaquant peut ainsi automatiser une partie de l'intrusion au lieu d'opérer à la main. Chainalysis dit constater une hausse des cyberattaques assistées par IA dans l'ensemble du secteur et affirme avoir été visée ces dernières semaines comme beaucoup d'autres plateformes technologiques.

La suite

Chainalysis indique que ses équipes travaillent sans relâche pour enquêter, corriger les failles et renforcer ses systèmes. L'entreprise a fait appel à des spécialistes externes en cybersécurité et utilise de grands modèles de langage pour appuyer un audit de sécurité plus large, au-delà des défauts exploités par l'attaquant.

L'entreprise conseille à ses clients de surveiller les demandes de réinitialisation de mot de passe et les demandes d'authentification inattendues. Elle invite à activer l'authentification à deux facteurs là où elle est désactivée et met en garde contre les escrocs qui se font passer pour Chainalysis, notamment ceux qui proposent des services de récupération de fonds ou de recrutement. Les clients peuvent obtenir de l'aide auprès de leur chargé de compte Chainalysis.

Chainalysis n'a fixé aucune date pour l'examen propre à chaque client. Elle n'a pas non plus donné de périmètre définitif de la violation.