Chainalysis: un attore esterno ha usato «tecniche agentiche offensive» per entrare negli strumenti interni

Chainalysis ha reso noto l'incidente il 30 ottobre con un avviso ai clienti e un post intitolato "Chainalysis Security Incident Information". L'azienda ha dichiarato che a ottobre un attore esterno ha usato «tecniche agentiche offensive» per ottenere accesso non autorizzato ai suoi sistemi e agli strumenti interni. L'attore ha raggiunto ID utente, nomi completi, indirizzi email ed etichette di ruolo organizzativo degli utenti registrati sulla piattaforma. Chainalysis ha classificato questi record come dati non sensibili dei clienti.

Cosa è stato consultato

Chainalysis vende a più di 1.500 clienti, tra cui forze di polizia, autorità fiscali, banche, autorità di regolamentazione e exchange di criptovalute. L'azienda dichiara di fornire dati, software e analisi a organizzazioni in più di 70 Paesi. Un nome verificato, un'email di lavoro e un'etichetta di ruolo possono aiutare un attaccante a confezionare un messaggio di phishing su misura per un investigatore o un responsabile della conformità di un'agenzia o di una banca ben identificata.

L'azienda non ha indicato quante persone o organizzazioni siano state coinvolte. Non ha identificato l'attaccante, le vulnerabilità sfruttate né per quanto tempo l'intruso abbia avuto accesso. Nessuna prova pubblica mostra finora che sia partita una campagna di phishing con questi dati.

Cosa, secondo Chainalysis, non è stato prelevato

Chainalysis ha dichiarato di non aver trovato prove che i contenuti delle indagini siano stati consultati. Si tratta di grafici, note e casi. Lo stesso vale, secondo l'azienda, per i risultati di transazioni e query, le password in chiaro, i segreti dell'autenticazione a più fattori e i token di sessione. Chainalysis precisa che questi risultati restano preliminari mentre l'indagine prosegue.

Chainalysis sta ancora stabilendo quali record siano stati consultati presso ciascun cliente. Intende inviare alle organizzazioni il dettaglio che le riguarda quando l'analisi sarà completata.

Il fattore agentico

Chainalysis non ha condiviso dettagli tecnici sull'intrusione. Non ha detto quali vulnerabilità siano state sfruttate, quali strumenti interni siano stati raggiunti né per quanto tempo l'attaccante abbia avuto accesso. BleepingComputer ha scritto che non è chiaro se l'attaccante abbia usato un framework agentico esistente come ARTEX oppure agenti AI sviluppati appositamente.

Il termine agentico descrive sistemi di intelligenza artificiale capaci di svolgere compiti in più passaggi con un intervento umano limitato. Questo permette agli attaccanti di automatizzare parti di un'intrusione invece di agire a mano. Chainalysis afferma di osservare un aumento degli attacchi informatici guidati dall'AI in tutto il settore e di essere stata colpita nelle ultime settimane come molte altre piattaforme tecnologiche.

Cosa succede ora

Chainalysis ha dichiarato che i suoi team lavorano senza sosta per indagare, correggere le vulnerabilità e rendere più solide le difese dei sistemi. L'azienda si è avvalsa di specialisti esterni di cybersicurezza e usa modelli linguistici di grandi dimensioni per sostenere una revisione di sicurezza più ampia, che va oltre le falle sfruttate dall'attaccante.

L'azienda ha consigliato ai clienti di fare attenzione a richieste inattese di reimpostazione della password e a prompt di autenticazione. Ha esortato ad attivare l'autenticazione a due fattori dove è spenta e ha messo in guardia dai truffatori che si spacciano per Chainalysis, in particolare quelli che offrono servizi di recupero fondi o di reclutamento. I clienti possono rivolgersi ai propri account manager di Chainalysis.

Chainalysis non ha fissato una data per la verifica cliente per cliente. Non ha indicato una portata definitiva della violazione.