El 6 de noviembre de 2026, hora de Beijing, la empresa de datos blockchain Chainalysis comenzó a restaurar los servicios KYT y de detección de direcciones por etapas, y afirmó que más clientes recuperarían el acceso en las próximas horas. Todos los usuarios después de la recuperación deben restablecer sus contraseñas y rotar las claves API cuando corresponda; Los clientes también deberán enviar una dirección IP confiable para agregarla a la lista de permitidos. En cada etapa, se monitorean las operaciones y se verifican controles de seguridad mejorados antes de extender el acceso a los clientes restantes, dijo la compañía. Reactor y Data Solutions todavía estaban siendo reforzados y restaurados en ese momento, y los funcionarios no dijeron que todos los productos habían vuelto a la normalidad.

Los eventos de exposición total del usuario y de contraseña parcial deben separarse

Esta recuperación se produce después de que la empresa ampliara su divulgación del incidente. Chainalysis dijo en una actualización nocturna del 4 de noviembre que los nombres, nombres de usuario, hashes de contraseñas y tokens activos involucraban a todos los usuarios de Chainalysis y habían estado expuestos a un actor malicioso. La compañía dijo que descubrió la exposición de la información el lunes anterior y que había eliminado el acceso a Reactor y Data Solutions durante la investigación. Los funcionarios no anunciaron el número total de usuarios, ni indicaron cuántos de estos tokens todavía eran válidos cuando fueron descubiertos, por lo que "todos los usuarios" no se pueden convertir en un número no revelado de cuentas o la escala del daño.

El mismo incidente también incluyó una ruta de ataque en ruta con un alcance diferente. Chainalysis dijo que las contraseñas de algunos clientes quedaron expuestas a través de esta ruta. La compañía contuvo y reparó este vector de ataque y bloqueó las cuentas relevantes para requerir el restablecimiento de contraseñas. Las "contraseñas parciales de clientes" aquí no se pueden fusionar con "hashes de contraseñas y tokens activos de todos los usuarios", ni se puede escribir que las contraseñas de texto plano de todos los usuarios han sido robadas. Las autoridades no han dicho en qué pieza de infraestructura tuvo lugar el camino.

Las actividades anormales hacen que varios productos se desconecten

Posteriormente, Chainalysis detectó actividad inusual en sus productos de supervisión de cumplimiento y desconectó la interfaz y la API de KYT, otros productos de Address Screening y la página de inicio de sesión. La empresa dijo que antes había añadido supervisión proactiva de actividades inusuales a sus productos de seguimiento de transacciones. También afirmó que algunas cuentas de KYT parecían haber sido accedidas sin autorización y que estaba notificando directamente a los clientes correspondientes. La redacción oficial sigue siendo "parecían haber sido accedidas"; no se indicó el número de cuentas, el periodo de acceso, las acciones concretas realizadas ni las pérdidas resultantes. La actividad anormal no puede equipararse por ahora con pérdidas de activos confirmadas.

Los productos no se desconectaron todos a la vez. El 2 de noviembre, Chainalysis suspendió primero Reactor y Data Solutions, mientras mantuvo en funcionamiento sus productos de supervisión de transacciones de cumplimiento con controles adicionales para detectar actividad inusual. Tras la actividad anormal del 4 de noviembre, también cerró KYT, Address Screening y la página de inicio de sesión, mientras Chain Beta seguía fuera de línea. Para el 6 de noviembre, KYT y Address Screening solo habían entrado en una restauración gradual; la empresa y expertos externos en seguridad seguían trabajando en Reactor y Data Solutions.

Restaure el acceso cambiando las credenciales primero

El proceso de recuperación utiliza controles de red y de cuenta como condiciones de acceso. Chainalysis exige que los clientes presenten direcciones IP de confianza mediante una dirección de correo designada o a través de su equipo de cuenta, y confirmará que cada fase funciona según lo previsto antes de ampliar el acceso. Al recuperarlo, los usuarios deben restablecer sus contraseñas y rotar las claves API cuando corresponda antes de registrar transacciones. La empresa también pide a quienes reciban un aviso de restablecimiento que vayan directamente a la página de inicio de sesión de Chainalysis, en vez de pulsar un enlace del correo; si la misma contraseña se usa en otros servicios, también debe cambiarse allí.

Sobre los datos empresariales, Chainalysis seguía diciendo en su última actualización que no tenía pruebas de que se hubiera accedido a datos de investigación ni de que se hubieran manipulado sus datos de atribución. Su comunicado inicial citó gráficos, notas y casos como ejemplos del contenido de investigación y dijo que entonces no había detectado accesos no autorizados a resultados de transacciones o consultas. Es una conclusión de la investigación actual de la empresa, no una auditoría independiente, y no demuestra que ninguna cuenta de cliente haya sido accedida. Chainalysis afirmó por separado que este incidente no estaba relacionado con el reciente robo de criptomonedas en Binance; los dos sucesos no deben presentarse como un mismo ataque.

La última investigación corrige el juicio anticipado

El aviso inicial de la empresa, del 30 de octubre, dijo que entonces no había encontrado accesos no autorizados a credenciales de autenticación ni tokens de sesión; la actualización del 4 de noviembre confirmó que los hashes de contraseñas y los live tokens de todos los usuarios habían quedado expuestos. Las dos declaraciones reflejan la información disponible en distintas fases de la investigación, y la segunda amplió y corrigió la divulgación anterior. Debe conservarse la cronología: la evaluación preliminar del 30 de octubre ya no es la conclusión más reciente y las dos versiones no pueden tratarse como igualmente vigentes.

El flujo público autorizado de Ars Technica publicó el 6 de noviembre un titular, un breve resumen, la hora y un enlace, y registró de forma independiente la afirmación de Chainalysis de que los atacantes obtuvieron credenciales y tokens que afectaban a todos sus clientes. Las actualizaciones oficiales no revelan la identidad del atacante, la infraestructura implicada en el ataque on-path, si las comunicaciones relacionadas estaban cifradas, el número total de clientes, el alcance preciso del acceso no autorizado ni las pérdidas posteriores. Chainalysis solo describió los métodos como técnicas ofensivas con rasgos agentic y no aportó detalles técnicos suficientes para determinar el papel concreto de agentes de IA.