Chainalysis : hachages de mots de passe et jetons actifs de tous ses utilisateurs exposés

Le 1er novembre, nous écrivions que Chainalysis, dont le logiciel de traçage de cryptomonnaies est utilisé par des corps policiers, des organismes de réglementation, des plateformes d’échange et des banques, avait trouvé un intrus dans ses outils internes qui avait vu les noms, courriels et rôles de ses utilisateurs. L’entreprise disait alors n’avoir trouvé aucun signe que les mots de passe, les secrets d’authentification multifacteur ou les jetons de session aient été atteints. Ce n’est plus le cas. Dans des mises à jour du 4 novembre, Chainalysis a dit que les hachages de mots de passe et les jetons actifs de chacun de ses utilisateurs avaient été exposés, que certains mots de passe de clients avaient été interceptés en transit, et que certains comptes d’un de ses produits semblent avoir été consultés. Voici ce qu’elle a dit depuis.

Ce qui a changé

Tout ceci provient des mises à jour que Chainalysis a ajoutées à sa page sur l’incident (en anglais; heures de l’Est des États-Unis) :

• Lundi 2 novembre : Chainalysis a mis hors ligne son outil d’enquête Reactor et son produit Data Solutions par précaution, pendant que des experts externes faisaient d’autres vérifications de sécurité. Elle a gardé ses produits de surveillance des transactions en marche en raison de leur rôle dans la détection du blanchiment d’argent, et dit les surveiller de près.
• Mercredi 4 novembre, 9 h 50 : elle a commencé à écrire à certains clients pour dire qu’une « attaque de l’intercepteur » (« on-path attack »), où quelqu’un intercepte le trafic entre un utilisateur et un service, avait exposé « une partie des mots de passe des clients ». Elle a dit que cette voie avait été bloquée, a verrouillé ces comptes et exigé une réinitialisation du mot de passe. Elle a décrit l’incident comme une « cyberattaque en cours sur plusieurs fronts ».
• 10 h 30 : après avoir repéré une « activité anormale », elle a mis hors ligne KYT (son outil de surveillance Know Your Transaction, le site web comme l’API), d’autres produits de vérification d’adresses et sa page de connexion. Les clients à qui on venait de demander de réinitialiser leur mot de passe ne pouvaient donc pas le faire.
• 23 h : elle a dit avoir découvert lundi que « certains renseignements de clients, dont les noms, noms d’utilisateur, hachages de mots de passe et jetons actifs de tous les utilisateurs de Chainalysis, ont été exposés à un acteur malveillant ». Elle a aussi dit aviser directement les clients dont les comptes KYT « semblent avoir été consultés sans autorisation ».

Chainalysis dit n’avoir toujours « aucune preuve que des données d’enquête aient été consultées ou que les données d’attribution de Chainalysis aient été manipulées ». Les données d’attribution, c’est son étiquetage de qui détient quelles adresses de cryptomonnaie, le cœur de ce sur quoi les enquêteurs s’appuient.

Elle n’a pas dit combien d’utilisateurs elle compte, si chaque type de données a été exposé pour chaque utilisateur, comment les mots de passe étaient hachés, ni ce qu’elle entend par « jetons actifs ». The Record (en anglais) note que l’entreprise n’a pas dit non plus si les mots de passe interceptés, les hachages et jetons exposés et l’accès aux comptes KYT impliquent le même attaquant ou la même méthode. Un porte-parole a dit à The Record ne pas pouvoir en dire plus que le blogue. Selon son site web, comme le note The Record, Chainalysis sert plus de 1 500 clients dans les forces de l’ordre, la cryptomonnaie, la finance, la réglementation et la sécurité nationale.

Pourquoi c’est plus grave que le premier avis

Un hachage de mot de passe est une forme brouillée d’un mot de passe. Selon la façon dont il a été produit, un mot de passe faible peut parfois en être retrouvé en devinant à grande échelle. Un jeton actif, c’est ce qu’un service utilise pour vous reconnaître comme déjà connecté; un jeton volé peut donc permettre d’entrer sans aucun mot de passe. Combiné à des noms et à des courriels professionnels, c’est un ensemble bien plus utile pour un attaquant que les coordonnées décrites par l’entreprise le 30 octobre. Les utilisateurs touchés sont souvent des enquêteurs qui travaillent sur des dossiers délicats, ce qui rend un ciblage soigné plus probable.

Pour la suite

Chainalysis dit prévoir de commencer à rétablir KYT et Address Screening le 5 novembre, pour les clients qui envoient leurs adresses IP de confiance afin qu’elles soient ajoutées à une liste d’autorisation. Ces utilisateurs pourront alors réinitialiser leur mot de passe et renouveler leurs clés d’API. Reactor et Data Solutions n’ont pas encore de date de retour. À leur retour, chaque utilisateur devra réinitialiser son mot de passe et renouveler ses clés d’API au besoin, et les comptes auront besoin de « protections supplémentaires ».

Ce que vous pouvez faire

Si vous ou votre organisation utilisez Chainalysis :

1. Réinitialisez votre mot de passe Chainalysis quand l’accès revient, en allant directement à la page de connexion. Chainalysis demande de ne pas cliquer sur les liens des courriels de réinitialisation.
2. Changez ce mot de passe partout ailleurs où vous l’avez utilisé, dès maintenant. N’attendez pas que Chainalysis revienne en ligne.
3. Renouvelez les clés d’API qui servent à enregistrer des transactions ou à appeler les services de Chainalysis, dès que l’entreprise le permet, et vérifiez vos systèmes pour repérer des appels que vous ne reconnaissez pas.
4. Envoyez vos adresses IP de confiance à votre équipe de compte ou à support@chainalysis.com si vous avez besoin que KYT soit rétabli. Utilisez des coordonnées que vous avez déjà.
5. Activez l’authentification à deux facteurs si votre organisation ne l’a pas encore fait, comme l’entreprise le recommandait dans son premier avis.
6. Méfiez-vous des messages qui invoquent la fuite pour vous presser d’agir. Attendez-vous à de l’hameçonnage qui parle de réinitialisation de mot de passe, de clés d’API ou de récupération de compte.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque service sa propre adresse : un courriel de réinitialisation qui arrive à la mauvaise adresse est alors un signe facile de fraude. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Chainalysis dit qu’un intrus a atteint ses outils internes et vu des noms et courriels de clients : notre premier article, tiré de l’avis du 30 octobre, quand l’entreprise disait qu’aucun identifiant n’avait été atteint.
• WorkOS dit qu’une attaque assistée par IA a atteint son outil de vente, dont des extraits Slack de clients : une autre entreprise qui a décrit un accès automatisé, assisté par IA, la même semaine. Aucun lien entre les deux n’a été rapporté.
• Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas : pourquoi un jeton actif volé peut compter autant qu’un mot de passe.

Sources

• Chainalysis, Chainalysis Security Incident Information (en anglais, mise à jour le 4 novembre à 23 h HNE), du 30 octobre au 4 novembre 2026
• The Record, Chainalysis warns all users hit in cyber breach involving ‘agentic’ techniques (en anglais), 5 novembre 2026