Chainalysis, la principal compañía global de análisis y trazabilidad forense de transacciones en criptomonedas, reveló la verdadera dimensión del ciberataque sufrido en sus servidores, confirmando que los atacantes lograron sustraer nombres, usuarios, hashes de contraseñas y tokens de sesión de la totalidad de sus clientes.
El reconocimiento oficial echó por tierra las comunicaciones iniciales emitidas a finales de octubre, en las cuales la firma había descartado de manera preliminar la vulneración de credenciales corporativas.
Con el correr de los peritajes forenses internos, la intrusión demostró tener un alcance masivo que puso en jaque a exchanges, fintechs y organismos públicos internacionales que utilizan sus herramientas para combatir el lavado de dinero.
La gravedad del incidente incluyó además una maniobra catalogada como ataque "on-path" (en ruta), mediante la cual los ciberdelincuentes interceptaron credenciales en texto claro correspondientes a un conjunto acotado de cuentas corporativas.
Frente a ese escenario, la compañía dispuso la inhabilitación preventiva e instantánea de esos accesos para evitar transferencias no autorizadas o modificaciones en las configuraciones de seguridad.
La respuesta operativa ante la propagación de la amenaza demandó una desconexión por etapas a lo largo de la primera semana de noviembre.
La empresa desactivó de manera preventiva sus entornos Reactor (plataforma insignia para el rastreo e investigación de fondos ilícitos) y Data Solutions, manteniendo en línea de forma provisoria los sistemas de monitoreo transaccional para evitar una parálisis regulatoria en sus clientes.
Sin embargo, el panorama se agravó el miércoles 4 de noviembre, cuando los equipos de infraestructura detectaron patrones de tráfico anómalos directamente en los servidores de análisis de operaciones.
Esa señal de alerta forzó el apagado total de la interfaz KYT (Know Your Transaction), el portal principal de ingreso y las interfaces de programación de aplicaciones (API) que conectan de forma automática a los exchanges con las bases de riesgo.
A pesar del nivel de penetración alcanzado por los atacantes en las capas de acceso, Chainalysis remarcó que las pericias técnicas no arrojaron indicios de alteración o filtración en los expedientes de causas judiciales, historiales investigativos o datos de atribución propietaria.
Para restablecer la operatividad sin reintroducir vulnerabilidades, la firma tecnológica estructuró un cronograma de reactivación gradual bajo estrictos filtros de validación.
El proceso de recuperación se inició exclusivamente con el módulo KYT y la verificación de direcciones de billeteras, aplicando un esquema de reincorporación paulatina de usuarios para testear los nuevos controles perimetrales. En contraste, los módulos de investigación profunda como Reactor continuarán inactivos hasta tanto auditores externos de ciberseguridad terminen de reforzar la arquitectura de la red corporativa.
Asimismo, la tecnológica impuso un estricto protocolo de reingreso para toda su nómina de abonados: cada entidad deberá registrar previamente sus direcciones IP corporativas de confianza para ser incorporadas a una lista blanca de autorización. Solo una vez superada esa instancia, los administradores tendrán la obligación de renovar la totalidad de sus contraseñas y ejecutar la rotación mandataria de todas sus claves API antes de poder emitir nuevas consultas transaccionales.