Chainalysis es una de las empresas más conocidas del mundo en análisis de cadenas de bloques. Sus herramientas sirven para rastrear el movimiento de criptomonedas y seguir la pista al dinero en investigaciones de fraude o blanqueo. Precisamente por eso llama la atención su último comunicado: la compañía reconoce que unos atacantes accedieron a credenciales y tokens de todos sus usuarios, según han contado Ars Technica, The Record y BleepingComputer.

La historia tiene dos tiempos. El 30 de octubre la empresa hizo pública la intrusión y aseguró que no había indicios de acceso a credenciales ni a tokens de sesión. Días después, ya en noviembre, publicó una actualización que cambiaba el panorama: nombres, nombres de usuario, hashes de contraseñas y tokens activos de todas las cuentas habían quedado expuestos ante un actor malicioso. La compañía lo describe como un ataque «en varios frentes» que sigue en curso.

Cómo fue el ataque, hasta donde se sabe

Según la información publicada, hubo al menos dos vías de ataque distintas:

• Intrusión en sistemas internos. Un actor externo usó técnicas ofensivas apoyadas en inteligencia artificial, los llamados ataques «agénticos», contra las herramientas y sistemas internos de la empresa. Un agente de IA es un programa capaz de encadenar tareas por su cuenta: explorar, probar accesos y repetir intentos a una velocidad que un humano no alcanza.
• Ataque «on-path». Es lo que en el sector se conoce también como man-in-the-middle: el atacante se coloca en medio de la comunicación entre el usuario y el servicio e intercepta lo que pasa por ahí. En este caso, esa vía dejó al descubierto las contraseñas de algunos clientes.

Quedan muchas preguntas abiertas. Chainalysis no ha concretado en qué punto de su infraestructura se produjo el compromiso, con qué método guardaba las contraseñas cifradas ni qué tipo exacto de tokens se llevaron. Tampoco ha confirmado si detrás de la interceptación de contraseñas y del robo de tokens está el mismo atacante. Y conviene matizarlo: la empresa habla de técnicas asistidas por IA, pero no ha dicho de forma explícita que un agente de IA sea el responsable de toda la brecha.

Qué es cada cosa robada y por qué no pesan igual

No todos los datos expuestos son igual de peligrosos:

• Hash de contraseña. Los servicios serios no guardan tu contraseña tal cual, sino una huella matemática de ella. En teoría no se puede invertir, pero si el algoritmo es débil o la contraseña es corta, los atacantes pueden probar millones de combinaciones hasta dar con una que genere la misma huella. Por eso importa tanto saber cómo se calcularon esos hashes, y la empresa no lo ha dicho.
• Tokens activos. Son como pulseras de acceso: después de iniciar sesión, el servicio te da un token para no tener que pedirte la contraseña a cada clic. Quien robe un token válido puede, en muchos casos, entrar como si fuera tú sin saber tu contraseña y sin pasar por la verificación en dos pasos. Por eso es la parte más delicada.
• Claves de API. Sirven para que otros programas se conecten al servicio de forma automática. Si caen en malas manos, permiten consultar datos o lanzar operaciones en nombre del cliente.

Hay una buena noticia, con reservas. Chainalysis asegura que no tiene pruebas de que se accediera a los datos de las investigaciones ni de que se modificara la información de atribución, es decir, los datos que relacionan direcciones de criptomonedas con quién está detrás. En una empresa cuyo valor depende de que esos datos sean fiables, ese es el punto clave.

Las medidas: cerrar la puerta y cambiar las cerraduras

La respuesta de la compañía ha sido drástica. Ha bloqueado las cuentas afectadas y ha apagado el portal de inicio de sesión y varios de sus productos. Para recuperar el acceso, los clientes tienen que enviar las direcciones IP desde las que se conectan, que la empresa añadirá a una lista blanca: solo podrán entrar las conexiones desde esas ubicaciones. Además, deben restablecer contraseñas y rotar sus claves de API, o sea, anular las antiguas y generar otras nuevas.

La lista blanca de IP es una medida eficaz pero incómoda. Reduce mucho la superficie de ataque, porque un token robado no sirve desde un ordenador desconocido. A cambio, complica el trabajo en remoto o desde redes que cambian de dirección. Es la clase de decisión que una empresa toma cuando prefiere frenar el servicio a arriesgarse a un segundo golpe.

Para el usuario de a pie, la lección vale para cualquier servicio: si te avisan de una brecha, cambia la contraseña, cierra todas las sesiones abiertas (así se anulan los tokens), revoca las claves de API y no reutilices esa contraseña en ningún otro sitio.

Por qué importa

El caso enseña dos cosas. La primera es que el alcance de una brecha suele crecer con el tiempo: el primer comunicado rara vez es el definitivo, así que conviene actuar desde el primer aviso y no esperar a la confirmación. La segunda es que las herramientas de IA capaces de actuar solas ya forman parte del repertorio de los atacantes, y eso acelera la exploración de sistemas. Frente a eso, las medidas de siempre siguen siendo las que funcionan: tokens que caducan pronto, contraseñas guardadas con algoritmos robustos, accesos restringidos y una reacción rápida cuando algo falla.