Chainalysis: violati i sistemi, versioni a confronto

Cosa è successo

Chainalysis, azienda che analizza le transazioni sulle blockchain per forze dell'ordine, exchange e istituzioni finanziarie, ha comunicato sul proprio blog ufficiale un incidente: un attore esterno ha avuto accesso a sistemi e strumenti interni usando «tecniche agentiche offensive» (testo originale: «an external actor using offensive agentic techniques»). L'azienda non precisa se dietro l'attacco ci sia una persona sola o un gruppo. Il primo comunicato è del 30 ottobre 2026; la pagina non indica un'ora precisa di scoperta, solo di pubblicazione.

L'azienda ha detto che l'episodio non è collegato al furto Binance. Ha incaricato esperti esterni di cybersicurezza e dice di usare modelli linguistici di grandi dimensioni per una revisione più ampia della piattaforma.

Sulla formula «tecniche agentiche» non c'è nessun dettaglio tecnico, nemmeno nel comunicato ufficiale: non si spiega cosa sia stato usato in concreto, né se l'intelligenza artificiale sia stata usata davvero dall'attaccante o sia solo un modo di descrivere l'attacco. Non è stato possibile verificare in modo indipendente come le singole testate secondarie presentino questo punto.

Dal comunicato iniziale all'aggiornamento

Le due versioni sono entrambe di Chainalysis: la seconda non è la correzione di una fonte secondaria, è la stessa pagina ufficiale ad aggiornarsi nel tempo con nuovi dettagli.

1. 30 ottobre 2026 (comunicato iniziale): dati esposti ID utente, nome completo, email ed etichette di ruolo degli utenti della piattaforma. Esclusi, scrive l'azienda: contenuti di indagine, password in chiaro, segreti MFA, token di sessione utente («no indication that these incidents resulted in the unauthorized access of investigation content»).
2. 4 novembre 2026, ore 9:50 EST: l'azienda comunica ai clienti un «on-path attack» (un attaccante che si mette in mezzo a una comunicazione) che avrebbe esposto un sottoinsieme delle password; in questa stessa email dice di non avere prove che l'account del singolo cliente sia stato acceduto in modo improprio (testo originale: «we have no evidence that your account has been improperly accessed»). Alle 10:30 mette offline KYT (interfaccia e API), Address Screening e la pagina di login; Reactor, Data Solutions e Chain (Beta) risultano in quel momento già offline (non è indicato da quando).
3. 4 novembre 2026, ore 23:00 EST: la pagina ufficiale si aggiorna di nuovo — «nomi, username, hash delle password e token attivi di tutti gli utenti Chainalysis sono stati esposti» (testo originale: «names, usernames, password hashes and live tokens for all Chainalysis users were exposed»), non più solo un sottoinsieme come detto alle 9:50. L'azienda dice di non avere prove di accesso ai dati di indagine né di manipolazione dei dati di attribuzione, ma non ripete più la rassicurazione sugli account data alle 9:50: scrive anzi di stare avvisando direttamente «i clienti i cui account KYT risultano essere stati acceduti senza autorizzazione» (testo originale: «customers whose KYT accounts appear to have been accessed without authorization»). È un'altra correzione nello stesso giorno, a meno di 14 ore di distanza.

Servizi fermi e cosa fare

Secondo il comunicato ufficiale di Chainalysis, Reactor e Data Solutions sono stati messi offline il 2 novembre, in via precauzionale: al 6 novembre l'azienda dice di starli mettendo in sicurezza («hardening») con l'aiuto di esperti esterni, senza una data di ritorno. Il 4 novembre sono finiti offline anche KYT (interfaccia e API), Address Screening e la pagina di login; Chain (Beta) risultava offline già in quel momento, senza che il comunicato dica da quando.

Il 6 novembre alle 3:30 EST l'azienda scrive di aver iniziato a ripristinare l'accesso a KYT e Address Screening, «a fasi». Per Chain (Beta) non è indicato nessuno stato più recente del 4 novembre.

Chainalysis dice di stare avvisando direttamente i clienti i cui account KYT risultano acceduti senza autorizzazione (aggiornamento delle 23:00 del 4 novembre): se usi KYT e non hai ricevuto questa comunicazione, l'azienda non dichiara se significhi che il tuo account non è fra quelli coinvolti o solo che l'avviso non è ancora arrivato.

Chainalysis chiede inoltre a tutti i clienti di inviare al supporto o al proprio account manager gli indirizzi IP fidati, da mettere in una lista d'eccezione (allowlist), e rende obbligatorio per tutti gli utenti reimpostare la password prima di registrare nuove transazioni; la rotazione (il cambio) delle chiavi API è richiesta «dove applicabile», cioè a chi le ha. I consigli che seguono sono anch'essi dell'azienda, non nostri:

1. Reimposta la password del tuo account Chainalysis: per l'azienda è obbligatorio per tutti gli utenti prima di registrare nuove transazioni. Se hai delle chiavi API, ruotale (cambiale).
2. Cambia la password anche sugli altri servizi dove l'avevi riusata.
3. Attiva l'autenticazione a due fattori (2FA) se non è già attiva.
4. Diffida di richieste di reset password o di autenticazione che non hai chiesto tu, ed entra solo dalla pagina di login ufficiale, non da un collegamento ricevuto via email.
5. Segnala ogni sospetto al tuo referente IT o sicurezza.

Da dove vengono questi dati

Fonte primaria: il blog ufficiale di Chainalysis (trovato e letto il 6 novembre 2026), che pubblica il comunicato del 30 ottobre e cinque aggiornamenti successivi (2 novembre; tre il 4 novembre, alle 9:50, 10:30 e 23:00; 6 novembre). Lette anche, per il contesto dei primi giorni: Help Net Security (2 novembre) e The Register (5 novembre, che cita e conferma l'aggiornamento delle 23:00 del 4 novembre pubblicato dal blog il giorno prima). The Hacker News non è stata riaperta per questa verifica (l'indirizzo non risponde più); The Block e CyberSecurityNews non sono stati aperti.

Non risulta nelle fonti, nemmeno in quella ufficiale: chi sia l'attaccante e il movente; come sia entrato nei sistemi; il dettaglio tecnico delle «tecniche agentiche»; il numero esatto di clienti o utenti coinvolti (l'azienda parla però di «tutti gli utenti» per l'aggiornamento del 4 novembre); per quanto tempo sia durato l'accesso; che algoritmo protegga le password (sono comunque definite «hash», non in chiaro); quando Reactor, Data Solutions e Chain (Beta) torneranno pienamente operativi; se siano state avvisate autorità o garanti; se sia coinvolta l'Italia.