Chainalysis, la società di analisi blockchain che traccia le criptovalute rubate, ha dichiarato venerdì 30 ottobre di aver rilevato, nel corso di questo mese, l’accesso di un attore esterno ai propri sistemi e strumenti interni. Secondo il comunicato dell’azienda, i dati raggiunti comprendono ID utente, nomi e cognomi, indirizzi email ed etichette di ruolo delle persone abilitate sulla piattaforma. Chainalysis non indica quante persone o organizzazioni siano coinvolte, né quando sia iniziata l’intrusione.
L’azienda afferma di non aver trovato finora prove di accesso a file di indagine, credenziali di accesso o token di sessione. Sostiene inoltre che l’attaccante ha usato «offensive agentic techniques» (in italiano, grosso modo, «tecniche agentiche offensive»), espressione che non spiega.
smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il comunicato aggiunge, in nostra traduzione: «Questo incidente di sicurezza non è collegato al recente furto di criptovalute a Binance». Non abbiamo trovato prove pubbliche di un legame.
Tutto questo poggia sulla sola parola di Chainalysis. Cointelegraph, Journal du Coin e Blockchain.News riportano tutti il testo dell’azienda. Non abbiamo trovato alcuna comunicazione di un’autorità, alcun cliente indicato per nome né alcuna società di sicurezza esterna che confermi la ricostruzione; gli esperti che Chainalysis dice di aver incaricato non sono nominati.
Cosa ha raggiunto l’attacco hacker a Chainalysis e cosa, secondo l’azienda, no
Il comunicato pubblico riproduce l’email inviata ai clienti interessati, ed è lì che si trova il dettaglio. L’email distingue ciò a cui si è avuto accesso da ciò per cui finora non risulta alcun accesso:
| Dato | Stato, secondo Chainalysis |
|---|---|
| ID utente | Accesso avvenuto |
| Nomi e cognomi | Accesso avvenuto |
| Indirizzi email | Accesso avvenuto |
| Etichette di ruolo nell’organizzazione | Accesso avvenuto |
| Contenuti delle indagini (grafi, note, casi) | Finora nessuna indicazione di accesso |
| Risultati di transazioni o ricerche | Finora nessuna indicazione di accesso |
| Password in chiaro | Finora nessuna indicazione di accesso |
| Segreti dell’autenticazione a più fattori (MFA) | Finora nessuna indicazione di accesso |
| Token di sessione degli utenti | Finora nessuna indicazione di accesso |
I quattro elementi a cui si è avuto accesso seguono l’espressione «such as» (come, per esempio), quindi l’email li presenta come esempi e non come elenco completo. Per il secondo gruppo Chainalysis scrive «no indication» (nessuna indicazione) sulla base delle «prove disponibili finora», cioè il risultato di un’indagine ancora aperta. L’azienda sta ancora stabilendo quali record di ciascuna organizzazione siano stati raggiunti e promette un quadro dettagliato a analisi conclusa.
L’azienda definisce «non sensibili» i dati raggiunti. Le due parti del comunicato usano inoltre termini diversi per gli accessi. Il riepilogo in testa dice che non sono state trovate prove di accesso alle «credenziali di autenticazione». L’email ai clienti elenca invece «password in chiaro» e «segreti MFA». Il comunicato non spiega la differenza.
Chainalysis dice che l’attacco non c’entra con l’hack di Binance
Chainalysis lo ripete due volte, «non collegato» nel riepilogo e «non correlato» nell’email ai clienti (traduzione nostra), senza aggiungere altro. I due nomi compaiono insieme perché, riferisce Journal du Coin, l’azienda sta seguendo i fondi rubati a Binance. Journal du Coin, che li ha messi entrambi nel titolo, scrive che oggi nulla permette di smentire la dichiarazione. Anche noi non abbiamo trovato nulla in questo senso. Il furto è raccontato nel nostro resoconto aggiornato sull’hack di Binance.
Cosa possono voler dire le «offensive agentic techniques» e cosa non si sa
Chainalysis dice di aver rilevato «un attore esterno che usa tecniche agentiche offensive» e inserisce il caso in «un aumento, in tutto il settore, degli attacchi informatici guidati dall’IA» (traduzione nostra dall’inglese). Non precisa se si tratti di un agente di intelligenza artificiale che agisce in gran parte da solo o di un operatore umano che usa strumenti di IA, e non fornisce alcun dettaglio tecnico dietro l’espressione. Non abbiamo trovato conferme esterne, quindi il metodo resta il racconto dell’azienda stessa.
Chainalysis parla di correzione delle vulnerabilità e di una revisione che va oltre «le vulnerabilità sfruttate». Non le nomina e non dice se siano state la via d’ingresso dell’attaccante. L’azienda afferma di aver incaricato esperti esterni di cybersicurezza e di usare modelli linguistici di grandi dimensioni a supporto di quella revisione.
Perché nomi, email e ruoli hanno comunque un valore
Chainalysis non dice quali organizzazioni siano state colpite. I settori elencati sul suo sito comprendono forze dell’ordine, agenzie fiscali, autorità di regolazione, sicurezza nazionale, istituti finanziari ed exchange centralizzati. Journal du Coin sostiene che un elenco che collega nomi, email di lavoro e ruoli come investigatore o responsabile della conformità sia ciò che serve a un truffatore per un phishing su misura. È un’analisi dell’autore: il comunicato non definisce le «etichette di ruolo» e non abbiamo trovato notizia di tentativi di phishing che usino questi dati.
Chainalysis non usa la parola phishing. Invita gli utenti a restare «iper-vigili» davanti a richieste di reimpostazione della password o a richieste di autenticazione inattese (traduzione nostra) e raccomanda con forza l’autenticazione a due fattori alle organizzazioni che non l’hanno attivata, con i responsabili di account a disposizione per aiutare. Un messaggio che cita un nome e un datore di lavoro reali è più difficile da riconoscere, e la nostra guida per evitare le truffe crypto elenca i segnali d’allarme.
L’azienda parla di utenti «abilitati sulla nostra piattaforma». Non dice nulla delle persone che hanno semplicemente un conto presso un exchange che utilizza gli strumenti di Chainalysis.
Un mese di violazioni tra i fornitori di servizi del settore crypto
Chainalysis definisce il proprio caso «simile a quello di molte altre piattaforme tecnologiche nelle ultime settimane» (traduzione nostra), senza citarle. Coindaro ne ha raccontate diverse questo mese: la società di dati on-chain Allium ha revocato le proprie chiavi API dopo una violazione individuata il 25 ottobre, Coinbase ha attribuito al fornitore di analisi Amplitude l’esposizione di dati di contatto dei clienti, e gli utenti di Polymarket hanno perso circa 2,65 milioni di dollari tramite un fornitore compromesso, secondo dati Arkham riportati da The Block. Nessuna fonte dice che questi casi abbiano un attaccante in comune.
Cosa Chainalysis non ha ancora detto
L’azienda non ha indicato quanti utenti siano coinvolti, non ha fornito un elenco delle organizzazioni e non ha detto se tra i clienti toccati ci sia un ente pubblico. Non ha datato l’inizio dell’intrusione, né detto per quanto tempo sia durato l’accesso o come sia stata scoperta. Non dice chi sia l’attaccante, e nessuna fonte che abbiamo letto lo dice.
Alcune formulazioni restano inoltre senza spiegazione. Il riepilogo dice che Chainalysis ha avvisato «tutti i nostri clienti», mentre l’email riprodotta è descritta come inviata ai «clienti interessati»; il comunicato non dice se si tratti dello stesso gruppo. L’email aggiunge «alcuni di voi sono già stati avvisati in precedenza», senza una data. Usa «questi incidenti» una volta, al plurale, e il singolare altrove. Sono differenze di formulazione, e non ne traiamo alcuna conclusione.
Il prossimo passo è il quadro organizzazione per organizzazione che Chainalysis ha promesso ai propri clienti, per il quale non ha indicato una data.