Allium revoca le chiavi API dopo la violazione, ma non dice che cosa ha visto l’intruso

Allium, azienda che vende dati blockchain a banche, exchange e società crypto, ha confermato smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il 28 ottobre 2026 che un intruso ha ottenuto un accesso non autorizzato ad alcuni dei suoi sistemi. In un post sul blog firmato dal CEO e cofondatore Ethan Chan, la società spiega di aver individuato l’incidente il 25 ottobre, di aver messo in sicurezza i sistemi, di aver avvisato direttamente i clienti coinvolti e di aver incaricato una società esterna di cybersicurezza. La sua pagina di stato aggiunge che le chiavi API esistenti vengono revocate e che ogni utente deve impostare una nuova password. Ciò che Allium non ha detto è che cosa abbia potuto vedere l’intruso.

La violazione di Allium ha tenuto fuori servizio per circa due giorni e mezzo Explorer, lo strumento SQL con cui i clienti interrogano i dati blockchain. Il servizio è tornato online il 28 ottobre alle 09:00 EDT (13:00 UTC). Il 29 ottobre alcune parti della piattaforma risultavano ancora non disponibili e le funzioni per i dati caricati dai clienti non erano state riattivate.

Sul proprio sito Allium indica Visa e Coinbase tra i clienti. È l’unico legame tra queste aziende e l’incidente: Allium non ha detto che l’una o l’altra sia stata coinvolta e nessuna delle due ha commentato. Finora nulla di quanto pubblicato indica perdite di fondi.

Incidente di sicurezza Allium: che cosa ha confermato l’azienda il 28 ottobre

Il comunicato è breve. Allium scrive di aver «identificato un incidente di sicurezza con accesso non autorizzato a determinati sistemi di Allium» (nel testo originale: «identified a security incident involving unauthorized access to certain Allium systems»). Il post indica un giorno, il 25 ottobre, ma nessun orario. Dice che l’accesso è stato limitato, che i sistemi sono stati messi in sicurezza, che i clienti coinvolti sono stati avvisati direttamente e che per la risposta e l’indagine è stata coinvolta una società indipendente di cybersicurezza, che Allium non nomina.

Secondo il post, la parte centrale della piattaforma è tornata operativa: Allium App, Explorer e le API di Explorer. «Alcune funzioni restano temporaneamente non disponibili mentre il ripristino prosegue», ha scritto Chan. Allium dice di rafforzare i controlli, citando autenticazione e monitoraggio, e di voler pubblicare una sintesi dei risultati al termine dell’indagine, senza indicare una data. The Defiant ha riportato lo stesso quadro: servizi principali di nuovo attivi, accesso ai dati caricati ancora disabilitato, vuoti in alcuni flussi di dati ancora da colmare.

Che cosa Allium non ha detto

Il post sul blog conferma un’intrusione e una risposta. Non descrive i danni. Restano aperte quattro domande che qualunque cliente si porrebbe.

• Quali dati ha raggiunto l’intruso: le query dei clienti, i file caricati dai clienti, le credenziali degli account oppure le chiavi API stesse.
• Se qualche dato sia uscito dai sistemi di Allium o se l’accesso sia stato interrotto prima.
• Come ha fatto l’attaccante a entrare e se quel punto d’ingresso sia ora chiuso.
• Quanti clienti sono stati avvisati e quali.

Al 29 ottobre nessun gruppo aveva rivendicato l’attacco, secondo Journal du Coin. Allium rimanda i lettori alla propria pagina di fiducia, trust.allium.so: quando l’abbiamo controllata il 29 ottobre, non diceva nulla sull’incidente.

Non è chiaro nemmeno il motivo della revoca delle chiavi. Le aziende revocano tutte le chiavi esistenti quando non possono escludere che siano state viste, ma anche come precauzione a basso costo quando ancora non sanno. Allium non dice che le chiavi siano state esposte e non dice nemmeno che non lo siano state.

Due giorni e mezzo di blackout, dalla schermata di manutenzione alle API ripristinate

La pagina di stato di Allium registra la sequenza. Gli orari sono espressi nel fuso orientale degli Stati Uniti (EDT): li abbiamo convertiti in UTC. Una riga, l’orario del post sul blog, proviene soltanto da Journal du Coin.

La pagina di stato non spiega l’intervallo tra l’individuazione del 25 ottobre e la decisione di mettere offline l’app il pomeriggio successivo. Quando l’abbiamo consultata, verso le 12:30 UTC del 29 ottobre, mostrava ancora un’interruzione parziale per l’interfaccia e le query di Explorer e prestazioni ridotte per i Datashare su Hyperliquid e su diversi gruppi di chain.

Visa e Coinbase sono clienti di Allium, non vittime dichiarate

Diversi titoli hanno accostato Visa e Coinbase alla parola violazione. Il legame è più stretto di così. Il sito di Allium mostra i loghi di Visa, Coinbase, Standard Chartered, Monetary Authority of Singapore, Boston Consulting Group, MetaMask, a16z crypto, Phantom, MoonPay, Uniswap e Grayscale, cita KPMG e afferma che più di 30 delle Fortune Crypto 100 si appoggiano ai suoi dati. Lo stesso sito dice che Visa pubblica una dashboard pubblica sulle stablecoin costruita sui dati di Allium.

Niente di tutto ciò dice se una di queste società fosse tra i clienti avvisati da Allium. Allium non ha nominato alcun cliente coinvolto e nulla indica finora che sistemi, conti o fondi di Visa o Coinbase siano stati toccati.

Allium afferma di possedere report SOC 1 e SOC 2 di tipo I e II, gli audit che i grandi clienti chiedono di solito ai fornitori. Journal du Coin aggiunge che la società è stata fondata nel 2021, indicizza più di 150 blockchain e il 23 giugno 2026 ha raccolto un round di Serie B da 40 milioni di dollari guidato da Amplify Partners.

Chiavi API di Allium revocate: che cosa devono fare ora i clienti

La pagina di stato è l’unico posto in cui Allium dà istruzioni pratiche.

• Creare una nuova chiave API nell’app di Allium, perché quelle esistenti vengono revocate. Se le vostre chiavi sono state emesse direttamente da un referente di Allium, attendete che sia lui a inviarvi quella nuova.
• Impostare una nuova password al prossimo accesso.
• Attivare l’autenticazione a più fattori, che Allium raccomanda.
• Mettere in conto che i dati caricati restino per ora indisponibili: i nuovi caricamenti sono disabilitati, i dati già caricati non sono accessibili e le query che li usano non partiranno.
• Controllare dashboard, strumenti di compliance e report alimentati dai Datashare di Allium per verificare eventuali vuoti tra il 26 e il 28 ottobre, quando la consegna si è interrotta ed è stata poi recuperata.

Un passaggio va oltre ciò che chiede Allium. Se i file che avete caricato contenevano segreti vostri, come credenziali o chiavi di altri servizi, cambiateli. Allium ha spento l’accesso proprio a quella parte della piattaforma senza spiegare perché.

Per chi si limita a detenere crypto, il rischio diretto sembra contenuto. Allium legge blockchain pubbliche e ne serve i risultati; nulla di ciò che ha pubblicato suggerisce che custodisca fondi dei clienti. Il rischio indiretto è quello consueto dopo una fuga di dati: messaggi che citano l’incidente per sembrare credibili. Diffidate di qualsiasi e-mail o telefonata che nomini Allium e chieda una password, un codice o un bonifico.

Il terzo incidente legato a un fornitore in una settimana

Il 28 ottobre Coinbase ha dichiarato che i propri sistemi non erano stati violati, ma che il suo fornitore di analytics Amplitude aveva esposto dati di contatto di alcuni clienti; SlowMist indica più di 70.000 contatti, riferisce Journal du Coin. Il giorno prima SlowMist aveva descritto uno script di chat clienti Udesk manomesso che copiava i dati di accesso e sostituiva gli indirizzi di deposito sui siti che lo caricavano.

Prima ancora, il 21 ottobre, il provider cloud Railway aveva chiesto a tutti i suoi utenti di cambiare i propri segreti, come abbiamo raccontato nella nostra copertura della violazione di Railway.

In ogni caso la porta d’ingresso non sono stati i wallet né il codice dell’azienda colpita. La fuga è arrivata da uno script di analytics, da un widget di assistenza, da un host cloud e ora da un fornitore di dati. Allium si trova più a monte di questa catena rispetto a un widget di chat, perché i clienti le affidano le proprie query, i file caricati e le credenziali.

Che cosa fa un fornitore di dati on-chain

Le blockchain sono pubbliche, ma i dati grezzi sono difficili da usare. Per sapere chi ha inviato quanto di quale token, attraverso quale app, qualcuno deve far girare dei nodi, leggere ogni blocco, decodificare ogni transazione e caricare i risultati in tabelle che gli analisti possano interrogare.

Allium vende questo lavoro in più forme, secondo il suo sito: uno strumento SQL chiamato Explorer, API per sviluppatori, Datastreams in tempo reale, un assistente di intelligenza artificiale, un Terminal e i Datashare, che consegnano tabelle già pronte nell’account Snowflake, Databricks o BigQuery del cliente. Un circuito di pagamento può seguire così i volumi delle stablecoin, e una banca può alimentare uno strumento di compliance senza gestire un nodo per ogni chain.

I dati sulla chain sono pubblici, quindi lì c’è poco da rubare; spieghiamo dove avvengono davvero gli attacchi crypto nella nostra guida per capire se una blockchain può essere hackerata. Ciò che un fornitore custodisce e non è pubblico è l’attività dei suoi clienti. Le loro query possono rivelare quali indirizzi o token stanno osservando.

Che cosa osservare ora

La sintesi dei risultati promessa dovrebbe chiarire che cosa è stato raggiunto, come e se qualcosa sia stato sottratto. Fino ad allora il posto da tenere d’occhio è la pagina di stato: Allium Assistant, accesso MCP e funzioni per i dati caricati erano ancora spenti all’ultimo aggiornamento. Se fossero coinvolti dati personali di persone nell’Unione europea, scatterebbero gli obblighi di notifica del GDPR, con comunicazione al Garante per la protezione dei dati personali per i clienti europei; Allium non ha affrontato il punto.