Atacantes con IA entran en Chainalysis

Chainalysis, la empresa cuyas herramientas usan policías, agencias gubernamentales, plataformas de intercambio y entidades financieras para seguir el rastro de las criptomonedas, ha reconocido una intrusión en sus sistemas. Según su propio aviso, un actor externo empleó lo que la compañía llama «técnicas agénticas ofensivas» para acceder sin autorización a sistemas y herramientas internas, y se llevó por delante datos de clientes.

La empresa publicó el aviso el viernes por la tarde, hora de la costa este de Estados Unidos, junto con el texto completo del correo enviado a los afectados. Según recoge BleepingComputer, detectó el acceso a lo largo de este mes y desde entonces ha estado parcheando vulnerabilidades y reforzando sus sistemas.

Qué datos han quedado expuestos

Chainalysis afirma que los atacantes accedieron a la siguiente información de los usuarios dados de alta en su plataforma:

• Identificadores de usuario
• Nombres completos
• Direcciones de correo electrónico
• Etiquetas de rol dentro de cada organización

La compañía sostiene que no ha encontrado indicios de acceso a lo más delicado. «Según la investigación hasta la fecha, no hemos encontrado pruebas de acceso no autorizado al contenido de las investigaciones, a las credenciales de autenticación ni a los tokens de sesión», explica. The Hacker News lo resume en los mismos términos: datos de clientes que la empresa considera no sensibles.

Eso sí, Chainalysis todavía está determinando qué registros concretos se vieron afectados en cada organización y promete un desglose cuando termine el análisis. Tampoco ha dado detalles técnicos: no ha dicho qué vulnerabilidades se aprovecharon, a qué herramientas internas se accedió ni cuánto tiempo estuvieron dentro los intrusos.

La empresa también ha querido desvincular el incidente del reciente robo a Binance, de unos 6.300 millones de dólares, que se atribuye a piratas respaldados por Corea del Norte.

El vigilante, vigilado

La ironía es evidente: la firma que vende capacidad de rastreo a gobiernos y cuerpos policiales ha tenido que avisar a esos mismos clientes de que alguien ha husmeado en sus sistemas. Y aunque nombres, correos y cargos puedan parecer poca cosa, la propia Chainalysis da pistas de su valor con las recomendaciones que hace a los afectados:

• Activar la verificación en dos pasos.
• Desconfiar de peticiones inesperadas de restablecimiento de contraseña o de solicitudes de autenticación.
• Estar atentos a estafadores que se hagan pasar por Chainalysis, sobre todo si ofrecen recuperar fondos o servicios de reclutamiento.

Dicho de otro modo, saber quién usa la herramienta y con qué rol es materia prima para engaños dirigidos.

Qué significa «agéntico» aquí

El término suele describir sistemas de IA capaces de ejecutar tareas de varios pasos con poca intervención humana. En un ataque, eso permitiría automatizar partes de la intrusión en lugar de depender de un trabajo manual de principio a fin. BleepingComputer señala que no está claro si los atacantes usaron marcos ofensivos ya existentes, como ARTEX, o agentes hechos a medida capaces de encontrar fallos, explotarlos y encadenar acciones por su cuenta. Según Microsoft, ARTEX ya ha sido utilizado por atacantes, entre otros casos en el compromiso de la cadena de suministro de ConnectWise.

La respuesta de Chainalysis también pasa por la IA: además de trabajar con expertos externos en ciberseguridad, dice estar usando grandes modelos de lenguaje para apoyar una revisión más amplia de la seguridad de su plataforma.

El incidente llega en una semana movida para el sector. Además del caso Binance, que la plataforma vincula al portátil comprometido de un ingeniero de DevOps, Trezor ha alertado de un posible implante en una cartera Safe 5 vendida por un distribuidor del sudeste asiático, y una versión maliciosa de la extensión oficial de Claude Code se distribuyó en el mercado de extensiones de Cursor e instalaba puertas traseras SSH en los equipos de desarrolladores. Chainalysis asegura que irá informando a los afectados a medida que avance la investigación.

Fuentes: BleepingComputer, The Hacker News