Ataque com IA expõe dados de todos usuários da Chainalysis hoje

Segurança Digital

Incidente revela vulnerabilidades graves em plataforma essencial para investigações em blockchain.

Leia também: Google derruba botnet com 1,3 milhão de set-top boxes Android

Um ataque cibernético usando ferramentas de inteligência artificial agentic expôs dados sensíveis de todos os usuários da Chainalysis e obrigou a empresa de análise de blockchain a desligar temporariamente serviços centrais como Reactor, Data Solutions, KYT, interface de usuário, API e até a página de login, afetando clientes no mundo todo.

Serviços parados e contas bloqueadas

A Chainalysis confirmou que a invasão revelou nomes, nomes de usuário, hashes de senhas e tokens ativos de acesso de toda a base de usuários. Como reação imediata, a companhia bloqueou as contas afetadas e retirou do ar as principais ferramentas usadas por bancos, corretoras, órgãos públicos e empresas de cripto para compliance e investigação.

“While we investigated, we removed access to Reactor and Data Solutions”, afirmou a empresa em comunicado aos clientes. Segundo a Chainalysis, não há, até o momento, indicação de que dados de investigações ou informações de atribuição tenham sido alterados. “At this time we continue to have no evidence that any investigations data has been accessed or Chainalysis attribution data has been manipulated”, disse.

Além de Reactor e Data Solutions, a companhia derrubou a interface e a API do Know Your Transaction (KYT) e outros produtos de triagem de endereços, além da própria página de login, para tentar conter o avanço dos invasores e impedir novos acessos com credenciais comprometidas.

Por precaução, todas as contas atingidas foram travadas. Usuários receberam e-mails com instruções de segurança, mas, por enquanto, não conseguem alterar a senha no próprio ambiente da Chainalysis. “For customers who just received an email from us instructing you to reset your Chainalysis password, resetting this password won’t be possible right now”, avisou a empresa, que orienta a troca imediata de senhas em outros serviços onde as mesmas credenciais possam ter sido reutilizadas.

Como foi o ataque à Chainalysis

A investigação em andamento aponta para um ataque multifrontal, com uso combinado de um “on-path attack” — técnica em que o invasor se coloca no caminho do tráfego para interceptar e manipular dados — e de ferramentas de IA agentic capazes de automatizar quase todo o ciclo de intrusão.

No centro da ofensiva está o ARTEX, um framework ofensivo que opera com agentes autônomos. Segundo análise técnica, esses agentes varrem repositórios públicos no GitHub em busca de segredos expostos, como chaves de API, credenciais de aplicações e dados ligados a serviços de IA, depois analisam o que encontram e disparam ataques subsequentes sem depender de interação humana constante.

“Agentic tooling like ARTEX allows threat actors to not only scan for secrets across multiple repositories at a quicker pace but also use the agents to analyze the output and conduct follow-on attacks, cutting down on the need for the threat actor to have hands-on-keyboard interactions throughout the attack chain”, explicou a Microsoft, que acompanha o caso.

Na prática, o modelo permite que um agente automatizado passe, em poucos minutos, do garimpo de credenciais em código público à exploração de serviços internos em nuvem, como cofres de chaves e ambientes de produção. Em um dos episódios ligados à mesma campanha, a exfiltração de dados de um cofre de segredos ocorreu em cerca de cinco minutos após a descoberta das chaves.

O que os invasores buscaram

De acordo com a Microsoft, os agentes usaram credenciais válidas obtidas nesses repositórios para acessar ambientes corporativos em serviços de nuvem e produtividade, explorando recursos como autenticação corporativa, armazenamento de arquivos e e-mails.

Os acessos maliciosos partem, entre outros, de dois endereços IP já identificados: 199.19.77.84 e 199.19.77.18. A partir daí, os agentes realizam logins automatizados e tentam operações que retornam mais credenciais sensíveis, criando um efeito cascata.

“The threat actor targeted operations that return credentials, including storage account keys, App Service settings, connection strings and publishing credentials, AI and machine learning (ML) connections and datastores, and Azure Kubernetes Service (AKS) user credentials”, detalhou a Microsoft. Em seguida, aplicações comprometidas foram usadas para acessar recursos como SharePoint e OneDrive de organizações vítimas, com download de arquivos e leitura de itens de caixas de correio.

Os investigadores também identificam tentativas de roubo de recursos de serviços de IA em nuvem, tanto para alimentar ataques mais amplos quanto para reduzir custos dos criminosos, que passam a usar os ambientes das vítimas para executar modelos de linguagem em grande escala.

Entenda o contexto

O ataque à Chainalysis se encaixa em uma campanha maior de ofensivas impulsionadas por IA agentic contra empresas de tecnologia e provedores de infraestrutura em nuvem. Plataformas que concentram dados sensíveis ou chaves de acesso a outros serviços, como ferramentas de análise de blockchain e ambientes de desenvolvimento de IA, viraram alvos prioritários.

Nesse novo cenário, a IA deixa de ser apenas ferramenta de defesa ou de produtividade e passa a operar de forma autônoma também do lado dos atacantes, que delegam a agentes a tarefa de descobrir segredos expostos, testar credenciais em massa, mapear infraestruturas inteiras e explorar brechas sem quase nenhuma intervenção manual.

A própria Microsoft avalia que a campanha está ativa de forma contínua desde agosto deste ano, com evolução nas técnicas empregadas e na velocidade de execução dos ataques. Em paralelo, empresas de segurança têm observado a expansão de um mercado clandestino que revende acesso roubado a serviços de nuvem e APIs de modelos de linguagem, fenômeno que especialistas apelidaram de “LLMjacking”.

Impacto para clientes da Chainalysis

A exposição de nomes, logins, hashes de senhas e tokens ativos representa um risco direto para a integridade das contas na Chainalysis e em outros serviços onde os mesmos dados possam ter sido reaproveitados. Mesmo que as senhas não estejam em texto puro, o vazamento de hashes e tokens abre caminho para tentativas de quebra e de uso indevido em larga escala.

Na prática, todos os clientes da empresa — de grandes bancos a órgãos reguladores e forças de segurança — estão temporariamente sem acesso às principais ferramentas de análise e triagem de transações em blockchain. Isso afeta rotinas de combate à lavagem de dinheiro, monitoramento de fraudes, rastreamento de fundos ilícitos e verificação de risco de endereços de criptomoedas.

Usuários que reaproveitam senhas entre diferentes serviços correm risco adicional: criminosos podem testar as credenciais vazadas em exchanges, provedores de nuvem, plataformas de e-mail e outros sistemas sensíveis, desencadeando ataques em cascata.

A Chainalysis diz estar reforçando o monitoramento para detectar qualquer atividade suspeita ligada às contas expostas. Quando o acesso começar a ser restabelecido, a empresa pretende impor novas camadas de segurança, com redefinição obrigatória de senhas, rotação de chaves de API e listas de permissão de IP para limitar o acesso a endereços confiáveis.

Quais medidas de segurança serão exigidas

Na retomada gradual dos serviços, a Chainalysis pretende liberar primeiro o acesso a ferramentas como KYT e Address Screening para clientes que cadastrarem previamente endereços de IP de confiança junto à equipe de suporte. Só a partir desses IPs será possível voltar a acessar as plataformas, redefinir senhas e registrar novas chaves de API.

“We are working around the clock to harden our systems and bring Reactor and Data Solutions back online”, afirmou a empresa. A orientação é que cada usuário seja obrigado a criar uma nova senha e que todas as chaves de API em uso hoje sejam substituídas antes da normalização das operações.

Especialistas ouvidos por empresas de segurança apontam que, para organizações que dependem fortemente da Chainalysis, será necessário revisar políticas de identidade e acesso, adotar autenticação multifator em todos os serviços críticos, reforçar a segregação de funções e limitar o número de sistemas que compartilham as mesmas credenciais.

Pressão regulatória e possíveis ações judiciais

Pelo alcance global da Chainalysis e pela natureza dos dados comprometidos, o incidente tende a atrair a atenção de reguladores de proteção de dados em diferentes jurisdições, além de órgãos de supervisão do sistema financeiro. Questionamentos sobre governança, gestão de segredos e dependência de repositórios de código públicos devem entrar no radar.

Empresas afetadas, especialmente instituições financeiras sujeitas a regras rígidas de compliance, podem avaliar a adoção de medidas legais para buscar compensação por eventuais prejuízos causados pela indisponibilidade dos serviços ou por incidentes de segurança decorrentes do vazamento.

Enquanto a investigação segue e os sistemas são reforçados, a Chainalysis mantém comunicação frequente com os clientes e promete detalhar, nas próximas atualizações, os novos controles de acesso que passarão a ser obrigatórios para todas as contas.