La empresa que rastrea el dinero de los ciberdelincuentes ha sufrido en sus propias carnes lo que investiga. Chainalysis, la firma de inteligencia blockchain que usan policías y bancos para seguir las criptomonedas robadas, ha confirmado que un ataque contra sus sistemas expuso las credenciales y los tokens de sesión activos de todos sus clientes: el FBI, ICE, la Fuerza Aérea de Estados Unidos, Microsoft, Coinbase y Barclays, entre más de 1.500 clientes en 70 países.
De «datos no sensibles» a todos los usuarios expuestos en cinco días
El viernes 30 de octubre, Chainalysis publicó su primer aviso: un actor externo había accedido a sus sistemas usando «técnicas ofensivas basadas en agentes» de inteligencia artificial. Aseguró que solo se habían visto afectados datos «no sensibles» y que no tenía evidencia de acceso a credenciales ni a tokens.
Cinco días después, ese relato se vino abajo. El lunes 2 de noviembre la empresa descubrió que la exposición era mucho mayor, y el miércoles 4 por la noche lo reconoció: «cierta información de clientes, incluidos nombres, nombres de usuario, hashes de contraseñas y tokens activos de todos los usuarios de Chainalysis, quedó expuesta a un actor malicioso». Ese mismo miércoles se supo que parte del ataque había sido un ataque «on-path» —de intermediario o man-in-the-middle— que expuso las contraseñas de un subconjunto de clientes. La empresa dice que ese vector fue identificado y corregido, pero no ha explicado dónde se produjo la intercepción ni si el tráfico viajaba cifrado con TLS.
Qué se llevaron y qué se apagó
Un hash es una versión cifrada de la contraseña que el atacante aún debe romper; un token activo es una credencial válida en ese mismo momento, que permite entrar sin conocer la contraseña. Por eso Chainalysis obligó a todos los usuarios a restablecer sus contraseñas y a rotar sus claves de API. También reconoció que algunas cuentas de KYT —su producto de detección de transacciones sospechosas— parecen haber sido accedidas sin autorización.
La contención fue drástica: cuentas bloqueadas y fuera de servicio el portal de inicio de sesión, Reactor, Data Solutions, la interfaz y la API de KYT y sus productos de filtrado de direcciones. Para recuperar el acceso, los clientes deben enviar sus IPs de confianza a support@chainalysis.com para su lista de permitidos. A 7 de noviembre, la empresa había empezado a restablecer el acceso por fases a KYT y Address Screening; Data Solutions seguía fuera de servicio.
La empresa mantiene que no hay evidencia de acceso a datos de investigaciones ni de manipulación de sus datos de atribución: es la ausencia de evidencia, no la evidencia de ausencia, y ya ha tenido que corregir su valoración inicial en menos de una semana.
El ángulo Blue Team: qué vigilaría un SOC
1. Los tokens son credenciales, no sesiones. Un token activo robado es un pase directo: revoca las claves antiguas, emite nuevas y revisa los registros de uso de la API buscando llamadas desde IPs o horarios inusuales.
2. Cuidado con los comunicados que minimizan. La primera versión hablaba de datos «no sensibles» y de «sin evidencia» de acceso a credenciales. Cinco días después, la realidad era otra. Cuando un proveedor dice «sin evidencia», un SOC lo trata como «aún no lo sabemos»: quien esperó al miércoles para rotar credenciales perdió cinco días.
3. El ataque on-path es una señal de alarma de infraestructura. Interceptar tráfico entre los usuarios y la plataforma apunta a un compromiso de red, no a un simple phishing. ¿Qué controles tienes para detectar que tu tráfico a un SaaS crítico está siendo interceptado? Certificados, pinning y anomalías en TLS.
4. El riesgo de cadena de suministro no es solo software. Chainalysis es la herramienta que la policía usa para investigar ransomware y blanqueo: un atacante con acceso a cuentas de investigadores sabrá qué carteras están marcadas y qué investigaciones están en curso. Es el mismo patrón que el robo a Arkéa a través de un proveedor.
5. La IA ya está en el lado atacante. Según Microsoft, hay actores usando un framework ofensivo de IA con agentes para buscar secretos expuestos en GitHub y encadenar accesos a la nube; en un caso, un agente pasó de escanear GitHub a exfiltrar datos de Azure Key Vault en cinco minutos. Herramientas como ARTEX ya forman parte del arsenal ofensivo, y esta semana se conoció el caso de WorkOS, donde un agente de hacking con IA escapó de su entorno de pruebas y accedió a una aplicación interna.
Qué hacer
- Restablece la contraseña y rota todas las claves de API antes de volver a operar, y hazlo también con cualquier credencial reutilizada.
- Revisa los registros de acceso y de llamadas a la API buscando IPs desconocidas, horarios extraños o volúmenes anómalos, con atención a las cuentas KYT.
- Envía tus IPs de confianza a support@chainalysis.com si aún no has recuperado el acceso.
- No reutilices contraseñas entre servicios críticos y activa el MFA en todo lo que lo permita.
- Si no eres cliente, revisa qué SaaS críticos guardan tokens de sesión de larga duración y cuándo rotaste sus claves por última vez.
El incidente no llega solo: Binance reveló el robo de unos 6.340 millones de dólares por hackers norcoreanos. Si le pasa a Chainalysis, le puede pasar a cualquiera.
Fuentes
- BleepingComputer — «Chainalysis says breach exposed credentials for all customers» (6 de noviembre de 2026): https://www.bleepingcomputer.com/news/security/chainalysis-says-breach-exposed-credentials-for-all-customers/
- Ars Technica — «Chainalysis says hackers stole credentials and tokens for all of its customers» (6 de noviembre de 2026): https://arstechnica.com/security/2026/11/chainalysis-says-hackers-stole-credentials-and-tokens-for-all-of-its-customers/
- The Hacker News — «Chainalysis Breach Exposes All Users’ Credentials, Forces Shutdown of Key Services» (7 de noviembre de 2026): https://thehackernews.com/2026/11/chainalysis-breach-exposes-all-users.html