Chainalysis, violazione più grave: esposti hash e token di tutti

L'attacco informatico a Chainalysis è molto più serio di quanto la società avesse detto all'inizio. Il 30 ottobre l'azienda statunitense, nota per gli strumenti con cui polizie, autorità e banche seguono il denaro in criptovalute, parlava di nomi, indirizzi e-mail e ruoli interni finiti nelle mani di un aggressore esterno. Con gli aggiornamenti del 4 novembre il quadro è cambiato: nomi utente, hash delle password e token attivi di tutti gli utenti sono risultati esposti. Alla mattina del 7 novembre (ora italiana) l'ultimo aggiornamento ufficiale è quello di venerdì 6 novembre e alcuni servizi chiave sono ancora spenti.

Chi è Chainalysis e perché questa violazione conta

Chainalysis non è un exchange e non custodisce criptovalute dei clienti. Vende software di analisi della blockchain: Reactor serve a ricostruire i movimenti di fondi nelle indagini, KYT (Know Your Transaction) controlla in tempo reale le transazioni dei clienti di exchange e banche, Address Screening verifica se un indirizzo è collegato ad attività illecite. Secondo BleepingComputer, tra gli utilizzatori ci sono forze dell'ordine, amministrazioni pubbliche, istituti finanziari, assicurazioni e aziende cripto.

Per questo una violazione degli account non è un problema solo tecnico: chi possiede credenziali o token validi potrebbe, in teoria, presentarsi come un investigatore o un responsabile compliance. Non sappiamo quali organizzazioni italiane usino il servizio e Chainalysis non ha pubblicato elenchi di clienti coinvolti.

Dal "nessuna credenziale" al "tutti i token": la cronologia

La pagina ufficiale riporta gli orari della costa est degli Stati Uniti (EST). Dal 1° novembre negli USA vale l'ora solare, quindi in Italia bisogna aggiungere sei ore.

Il punto più delicato è la differenza tra la prima e la terza comunicazione. Il 30 ottobre la società escludeva, sulla base delle prove disponibili, un accesso a credenziali e token di sessione; cinque giorni dopo ha riconosciuto l'esposizione di hash e token attivi per l'intera base utenti. La pagina ufficiale non spiega come si concilino le due versioni.


Cosa non è stato toccato, secondo l'azienda

Chainalysis afferma di non aver trovato prove di accesso ai contenuti delle indagini (grafici, note, casi) né di manipolazione dei dati di attribuzione, cioè le etichette che collegano un indirizzo a un exchange, a un servizio o a un gruppo criminale. È l'aspetto che conta di più per chi usa questi dati come base per segnalazioni o indagini. Resta però una dichiarazione della società: un'analisi indipendente non è stata pubblicata.

Molte cose, inoltre, non sono ancora state rese note: quanti clienti sono coinvolti, chi c'è dietro l'attacco, per quanto tempo l'aggressore è rimasto nei sistemi, quale algoritmo protegge le password e di che tipo siano i "token attivi". Non c'è neanche una data per il ritorno di Reactor e Data Solutions.

Cosa devono fare i clienti

Chi non ha un account Chainalysis non deve fare nulla: il servizio è usato da organizzazioni, non da privati. Per le aziende e gli enti clienti, le indicazioni ufficiali si riassumono così:

• Indirizzi IP fidati: inviarli al supporto o al proprio account manager, perché l'accesso viene riaperto tramite allowlist.
• Prima di ricominciare a usare KYT: reimpostare la password e generare nuove chiavi API.
• Reset solo dalla pagina ufficiale: non usare link ricevuti via e-mail.
• Password riutilizzate: cambiarle anche negli altri servizi in cui erano uguali.
• Autenticazione a due fattori: attivarla se non è già in uso e segnalare richieste di reset o di accesso inattese.

Già il 30 ottobre la società metteva in guardia da falsi servizi di "recupero fondi" che si spacciano per Chainalysis. Il rischio ora è maggiore: chi ha nomi ed e-mail reali dei clienti può scrivere messaggi di phishing molto credibili.

E il GDPR?

Nomi e indirizzi e-mail sono dati personali ai sensi del GDPR. In generale, quando una violazione presenta un rischio per le persone, il titolare del trattamento deve notificarla all'autorità di controllo (in Italia il Garante privacy) entro 72 ore e, se il rischio è elevato, informare anche gli interessati. Per i clienti europei di Chainalysis la valutazione spetta alle singole organizzazioni e ai loro consulenti; finora non abbiamo trovato comunicazioni di autorità italiane su questo caso. Questo paragrafo non è una consulenza legale.

Il caso arriva in una settimana già difficile per il settore, dopo il furto da 6,3 miliardi di dollari a Binance, un attacco che Chainalysis, secondo CoinDesk, aveva analizzato insieme ad altre società del settore. L'azienda ribadisce però che le due vicende non sono collegate.

Domande frequenti

Quali dati sono stati rubati a Chainalysis?

Secondo l'azienda sono esposti nomi, nomi utente, indirizzi e-mail, ruoli, hash delle password e token attivi di tutti gli utenti; per una parte dei clienti anche le password, a causa di un attacco "on-path" individuato il 4 novembre.

Le indagini dei clienti sono state compromesse?

Chainalysis dice di non avere prove di accesso ai contenuti delle indagini né di modifiche ai dati di attribuzione.

Quali servizi sono ancora fermi?

Al 6 novembre Reactor e Data Solutions restano offline senza data di riapertura; KYT e Address Screening vengono riattivati a scaglioni.

I privati devono preoccuparsi?

Chi non usa Chainalysis non ha un account presso la società. Conviene comunque diffidare di chi offre di "recuperare" criptovalute a nome di Chainalysis.