Il y a quelque chose de particulièrement embarrassant à se faire pirater lorsqu’on travaille justement à traquer les criminels du numérique. C’est pourtant la situation dans laquelle se retrouve Chainalysis, une entreprise dont les outils servent notamment à suivre les transactions suspectes en cryptomonnaies.
L’affaire, initialement présentée comme une intrusion limitée, s’est révélée bien plus sérieuse au fil des investigations. Et les dernières révélations ne sont pas vraiment rassurantes pour les clients de l’entreprise.
Chainalysis piraté, mais que s’est-il passé ?
Le 30 octobre, Chainalysis a reconnu avoir subi une intrusion informatique. Un acteur extérieur aurait utilisé des techniques offensives agentiques pour accéder sans autorisation à ses systèmes et à ses outils internes.
Dans un premier temps, l’entreprise a affirmé ne disposer d’aucune preuve d’un accès aux contenus de ses enquêtes, aux résultats de recherches, aux identifiants d’authentification ou aux jetons de session.
Les informations consultées comprenaient notamment les identifiants utilisateurs, les noms complets, les adresses e-mail et les fonctions occupées dans les organisations.
Chainalysis a alors expliqué chercher à déterminer précisément quels enregistrements avaient été concernés chez chaque client. Mais l’enquête a réservé de nouvelles mauvaises surprises.
Dans une mise à jour publiée le 4 novembre au soir, l’entreprise l’a révélé. Un acteur malveillant aurait aussi pu consulter les empreintes de mots de passe et les jetons d’authentification actifs de tous ses utilisateurs.
L’entreprise n’a toutefois pas précisé combien de personnes utilisent sa plateforme ni si chaque catégorie de données avait été exposée pour chacune d’entre elles. Elle maintient également ne disposer d’aucune preuve d’un accès aux données d’investigation ou d’une manipulation de ses données d’attribution.
La situation a évolué… en pire
L’exposition des données ne constitue malheureusement pas le seul problème rencontré par Chainalysis.
Le 4 novembre, l’entreprise a également confirmé qu’une partie des mots de passe de ses clients a été exposée lors d’une attaque dite on-path. Ce type d’attaque consiste à intercepter les communications entre un utilisateur et un service.
Chainalysis affirme cependant avoir identifié puis corrigé ce mécanisme. L’entreprise a verrouillé les comptes concernés par précaution et leurs propriétaires doivent modifier leurs mots de passe.
Elle recommande également de changer les mots de passe réutilisés sur d’autres plateformes. Et elle insiste sur un point important. Les utilisateurs doivent se rendre directement sur sa page de connexion. Au grand jamais ne cliquez sur des liens reçus dans des e-mails de réinitialisation.
En parallèle, Chainalysis a mis hors ligne plusieurs services pour limiter les risques et permettre des vérifications supplémentaires.
C’est notamment le cas de Reactor, son outil d’investigation, et de Data Solutions. Le service KYT, consacré à la surveillance des transactions en cryptomonnaies, ainsi que les produits Address Screening et la page de connexion ont également été temporairement suspendus après la détection d’une activité anormale.
L’entreprise a par ailleurs indiqué que certains comptes clients sur KYT semblaient avoir été consultés sans autorisation.
Un retour progressif à la normale
Le 6 novembre, Chainalysis annonce avoir commencé à rétablir progressivement l’accès à KYT et à Address Screening. La remise en service s’effectue par étapes, avec des contrôles supplémentaires destinés à vérifier la sécurité des systèmes.
Les clients doivent notamment communiquer leurs adresses IP de confiance pour être ajoutés à une liste d’accès autorisés.
Une fois leur accès rétabli, tous les utilisateurs devront réinitialiser leurs mots de passe et renouveler leurs clés API.
En revanche, le retour de Reactor et de Data Solutions reste en préparation. Chainalysis indique poursuivre ses travaux avec des experts externes pour renforcer ses protections avant de remettre ces outils en service.
L’entreprise n’a pas non plus identifié publiquement l’auteur de l’attaque. Elle n’a pas établi si les différentes opérations découvertes provenaient du même acteur.
- Partager l'article :
