Les clients de Chainalysis, spécialisée dans le renseignement sur la blockchain, sont invités à se méfier des tentatives d'usurpation d'identité après que des intrus ont eu accès à des informations sur les utilisateurs de la plateforme. Dans un incident révélé vendredi et signalé par BleepingComputer le 31 octobre, l'entreprise a indiqué que des attaquants avaient pénétré des systèmes et outils internes en recourant à ce qu'elle appelle « techniques agentiques offensives ».
Les informations consultées comprennent les noms complets, les adresses électroniques, les identifiants d'utilisateur et les libellés décrivant les rôles organisationnels des utilisateurs. Chainalysis examine quels enregistrements ont été atteints dans chaque organisation et prévoit d'envoyer aux clients concernés un bilan détaillé une fois ce travail achevé.
Ses clients comptent des services de police, des agences gouvernementales, des plateformes d'échange de cryptomonnaies et des établissements financiers. Ils utilisent ses outils d'analyse de la blockchain pour suivre les transactions en cryptomonnaies dans le cadre d'enquêtes sur la fraude, les rançongiciels et le blanchiment d'argent. Selon Chainalysis, son enquête n'a pour l'instant révélé aucun élément indiquant que les intrus aient accédé aux contenus d'enquête, aux identifiants d'authentification ou aux jetons de session, qui maintiennent ouvertes les sessions authentifiées.
La détection a précédé l'annonce de vendredi
Chainalysis a publié son avis d'incident ainsi que le texte de son courriel adressé aux clients concernés vers 17 h 14, heure de l'Est américain, le vendredi 30 octobre. L'entreprise indique avoir détecté l'accès non autorisé de l'acteur extérieur plus tôt en octobre et avoir depuis travaillé à corriger les vulnérabilités et à renforcer ses défenses.
Un porte-parole de l'entreprise a déclaré à BleepingComputer que des spécialistes externes en cybersécurité l'aident dans la gestion de l'incident. Chainalysis fait également appel à des grands modèles de langage, c'est-à-dire des systèmes d'IA qui traitent et génèrent du texte, dans le cadre d'un examen de sécurité plus large de sa plateforme.
L'entreprise précise que la violation n'a aucun lien avec le récent vol visant Binance.
Ce que signifie « agentique » ici
L'IA agentique peut enchaîner une suite de tâches avec une supervision humaine limitée. Appliquée à la sécurité offensive, cela pourrait consister à repérer une faiblesse, à tenter de l'exploiter, puis à choisir une autre action en fonction du résultat.
La description de Chainalysis ne permet pas de savoir si les intrus ont utilisé un cadre prêt à l'emploi comme ARTEX ou s'ils ont développé leurs propres agents. Les vulnérabilités exploitées, les outils internes atteints et la durée des accès ne sont pas précisés. Sa formulation fournit donc aux clients une description générale de l'approche d'attaque plutôt qu'un compte rendu technique de l'intrusion.
Un cas documenté d'utilisation de tels outils existe par ailleurs. Dans son rapport du 21 octobre, Microsoft affirme que l'acteur Storm-0940, aligné sur l'État chinois, a utilisé ARTEX, un cadre d'IA destiné aux tests de sécurité automatisés, contre des centaines d'organisations dans le monde, dès septembre 2026. Dans plusieurs attaques, cet acteur a obtenu des accès privilégiés au cloud, notamment dans plusieurs cas où il a fallu moins de trois heures depuis le ciblage initial. Microsoft estime par ailleurs que cet acteur est responsable de la compromission distincte de la chaîne d'approvisionnement de ConnectWise.
Mesures à prendre pour les clients de Chainalysis
Chainalysis conseille à ses clients d'activer l'authentification à deux facteurs, qui ajoute une étape de vérification lors de la connexion. Les clients doivent aussi surveiller les demandes de réinitialisation de mot de passe qu'ils n'ont pas initiées, les invites d'authentification inattendues et les personnes se faisant passer pour des représentants de Chainalysis. L'entreprise a notamment mis en garde contre les usurpateurs proposant des services de récupération de fonds en cryptomonnaies ou des offres d'emploi.
Chainalysis prévoit de publier d'autres mises à jour à mesure que l'enquête avance. Les avis spécifiques à chaque organisation, à venir, préciseront quels enregistrements ont été consultés. En attendant, les clients doivent suivre ses recommandations, activer l'authentification à deux facteurs et rester vigilants face à ces tentatives d'usurpation.
