I clienti di Chainalysis, società di blockchain intelligence, vengono avvisati di prestare attenzione ai tentativi di impersonificazione, dopo che degli intrusi sono riusciti ad accedere a informazioni sugli utenti della piattaforma. In un incidente comunicato venerdì e riportato da BleepingComputer il 31 ottobre, l'azienda ha spiegato che gli aggressori sono entrati nei sistemi e negli strumenti interni usando quelle che ha definito «tecniche offensive agentiche».
Le informazioni consultate comprendono nomi e cognomi completi, indirizzi email, ID utente ed etichette che descrivono i ruoli organizzativi degli utenti. Chainalysis sta verificando quali record siano stati raggiunti in ciascuna organizzazione e intende inviare ai clienti interessati un dettaglio completo una volta concluso questo lavoro.
Tra i suoi clienti figurano organi di polizia, agenzie governative, exchange di criptovalute e istituti finanziari. I clienti utilizzano i suoi strumenti di analisi della blockchain per seguire le transazioni in criptovalute nel corso di indagini su frodi, ransomware e riciclaggio di denaro. Secondo Chainalysis, finora l'indagine non ha trovato prove che gli intrusi abbiano avuto accesso ai contenuti delle indagini, alle credenziali di autenticazione o ai token di sessione, che mantengono attive le sessioni di accesso.
L'individuazione precede la comunicazione di venerdì
Chainalysis ha pubblicato l'avviso sull'incidente e il testo dell'email inviata ai clienti interessati intorno alle 17:14 ET di venerdì 30 ottobre. L'azienda afferma di aver individuato l'accesso non autorizzato del soggetto esterno all'inizio di ottobre e da allora lavora per correggere le vulnerabilità e rafforzare le proprie difese.
Un portavoce dell'azienda ha dichiarato a BleepingComputer che specialisti di cybersicurezza esterni stanno assistendo nella risposta. Chainalysis sta inoltre coinvolgendo i modelli linguistici di grandi dimensioni (LLM), sistemi di IA che elaborano e generano testo, in una verifica più ampia della sicurezza della piattaforma.
L'azienda sostiene che la violazione non sia collegata al recente furto ai danni di Binance.
Cosa significa «agentico» in questo caso
L'IA agentica può eseguire una sequenza di attività con una supervisione umana limitata. Applicata alla sicurezza offensiva, ciò potrebbe comportare l'individuazione di una vulnerabilità, il tentativo di sfruttarla e la scelta di un'altra azione in base al risultato.
La descrizione di Chainalysis non chiarisce se gli intrusi abbiano usato un framework già pronto, come ARTEX, oppure abbiano sviluppato agenti propri. Restano non specificate le vulnerabilità coinvolte, gli strumenti interni raggiunti e la durata dell'accesso. La formulazione fornisce quindi ai clienti una descrizione generale dell'approccio dell'attacco, non un resoconto tecnico dell'intrusione.
Esiste un esempio documentato dell'uso di strumenti simili altrove. Nel suo rapporto del 21 ottobre, Microsoft ha dichiarato che l'attore affiliato allo Stato cinese Storm-0940 aveva usato ARTEX, un framework di IA per il test di sicurezza automatizzato, contro centinaia di organizzazioni in tutto il mondo già da settembre 2026, ottenendo accesso privilegiato al cloud in diversi attacchi, tra cui più casi in cui sono passate meno di tre ore dal primo momento in cui il bersaglio è stato preso di mira. Microsoft ha inoltre valutato che lo stesso attore fosse responsabile della separata compromissione della supply chain di ConnectWise.
Passi per i clienti di Chainalysis
Chainalysis consiglia ai clienti di attivare l'autenticazione a due fattori, che aggiunge un passaggio di verifica all'accesso. I clienti dovrebbero inoltre fare attenzione alle richieste di reimpostazione della password che non hanno avviato, alle richieste di autenticazione inattese e alle persone che si spacciano per rappresentanti di Chainalysis. L'azienda ha messo in guardia in modo specifico contro chi si finge Chainalysis per offrire servizi di recupero di fondi in criptovalute o opportunità di lavoro.
Chainalysis prevede di fornire ulteriori aggiornamenti man mano che l'indagine progredisce. Le comunicazioni specifiche per ciascuna organizzazione, in arrivo, illustreranno quali record sono stati acceduti. Nel frattempo i clienti dovrebbero seguire i suoi consigli, attivare l'autenticazione a due fattori e restare vigili rispetto a quei tentativi di impersonificazione.
