Chainalysis admet qu'une brèche a exposé les hachages de mots de passe et les jetons actifs de tous les utilisateurs

Entre le 4 et le 6 novembre 2026, la société d'analyse blockchain et de conformité Chainalysis est revenue sur les assurances centrales de son avis de violation de la fin octobre et a admis que des attaquants avaient compromis les noms, noms d'utilisateur, hachages de mots de passe et jetons de session actifs de tous les utilisateurs de Chainalysis. Dans des mises à jour publiées sur son bulletin d'incident de sécurité, Chainalysis a également révélé qu'une attaque par interception sur le chemin réseau (« on-path ») avait exposé un sous-ensemble de mots de passe clients, et que certains comptes de conformité Know Your Transaction (KYT) semblaient avoir été consultés sans autorisation.

À lire aussi: La branche japonaise de Sony, fournisseur d'accès, annonce une fuite de 2,6 millions d'enregistrements · L'Espagne enregistre sa première violation de données commise par un agent d'IA autonome.

Cet incident en pleine escalade, que Chainalysis a qualifié de « cyberattaque multifront en cours » ayant débuté en octobre avec un acteur externe recourant à des « techniques agentiques offensives » pilotées par l'IA, a contraint l'entreprise à mettre hors ligne ses principales plateformes d'enquête et de conformité. Le mercredi 4 novembre à 10 h 30 EST, Chainalysis avait fermé Reactor, Data Solutions, l'interface utilisateur et l'API de KYT, Address Screening, Chain (Beta) ainsi que sa page de connexion principale, selon BleepingComputer.

Chainalysis a commencé à rétablir progressivement KYT et Address Screening le vendredi 6 novembre à 3 h 30 EST, derrière un filtrage par liste blanche d'adresses IP, des réinitialisations obligatoires de mots de passe et une rotation des clés API. Reactor et Data Solutions demeuraient hors ligne au 6 novembre pendant que Chainalysis et des spécialistes externes de la sécurité renforçaient les systèmes.

Cinq jours entre les propos rassurants et l'arrêt complet

Lorsque Chainalysis a révélé l'intrusion pour la première fois vers 17 h 14 EDT le vendredi 30 octobre 2026, elle a présenté la brèche comme limitée. Dans ce premier bulletin et dans un courriel relayé par BleepingComputer le 31 octobre, Chainalysis indiquait qu'un acteur externe avait utilisé des « techniques agentiques offensives » plus tôt en octobre pour obtenir un accès non autorisé à des systèmes et à des outils internes.

À ce stade, Chainalysis affirmait n'avoir trouvé « aucune indication que ces incidents aient entraîné un accès non autorisé au contenu des enquêtes (tels que les graphes, les notes ou les dossiers), aux résultats de transactions ou de requêtes, aux mots de passe en clair, aux secrets MFA ou aux jetons de session des utilisateurs ». Seules « des données clients non sensibles, telles que les identifiants d'utilisateur, les noms complets, les adresses électroniques et les intitulés de rôle au sein de l'organisation pour les utilisateurs enregistrés sur notre plateforme, ont été consultées », assurait alors l'entreprise à ses clients. Chainalysis précisait également que la brèche n'avait aucun lien avec le vol subi fin octobre par Binance, traité dans notre article du 30 octobre.

Cette assurance a tenu jusqu'au lundi. Le 2 novembre, Chainalysis a annoncé publiquement avoir mis Reactor et Data Solutions hors ligne « par excès de prudence », tout en laissant KYT en service. Deux nuits plus tard, Chainalysis a révélé que le lundi 2 novembre, ses enquêteurs avaient découvert en interne que les noms, noms d'utilisateur, hachages de mots de passe et jetons actifs de tous les utilisateurs avaient été exposés à un acteur malveillant.

Chainalysis n'a pas expliqué pourquoi elle avait attendu du lundi jusqu'au mercredi à 23 h 00 EST pour informer ses clients que le hachage de mot de passe et le jeton de session actif de chaque utilisateur avaient été exposés. KYT est resté en ligne pendant ces deux jours.

Quarante minutes le mercredi matin

La chronologie publique a évolué au fil de six mises à jour entre le 30 octobre et le 6 novembre 2026 :

• Vendredi 30 octobre (vers 17 h 14 EDT) : le bulletin initial révèle une intrusion survenue en octobre à l'aide de « techniques agentiques offensives », en affirmant que les mots de passe, les secrets MFA et les jetons de session sont intacts.
• Lundi 2 novembre : Reactor et Data Solutions sont mis hors ligne publiquement « par excès de prudence », le jour même où les enquêteurs découvrent en interne que les noms, noms d'utilisateur, hachages de mots de passe et jetons actifs de tous les utilisateurs ont été exposés.
• Mercredi 4 novembre (9 h 50 EST) : Chainalysis signale une « cyberattaque multifront en cours », verrouille les comptes dont une « attaque sur le chemin réseau » a exposé les mots de passe, et invite ces utilisateurs à réinitialiser leurs mots de passe via la page de connexion.
• Mercredi 4 novembre (10 h 30 EST) : une activité anormale sur les outils de filtrage oblige Chainalysis à couper l'interface utilisateur et l'API de KYT, Address Screening et la page de connexion principale.
• Mercredi 4 novembre (23 h 00 EST) : Chainalysis révèle l'exposition généralisée découverte le lundi, confirme un accès non autorisé à certains comptes KYT et demande aux clients d'envoyer leurs adresses IP de confiance à [email protected].
• Vendredi 6 novembre (3 h 30 EST) : début de la remise en service progressive de KYT et d'Address Screening avec liste blanche d'adresses IP, réinitialisation des mots de passe et rotation des clés API ; Reactor et Data Solutions restent hors ligne.

La matinée de mercredi a montré à quelle vitesse les défenseurs perdaient du terrain. À 9 h 50 EST, Chainalysis affirmait que le vecteur d'attaque sur le chemin réseau « a été contenu et corrigé » et orientait les utilisateurs concernés vers le portail de connexion pour modifier leurs mots de passe. Quarante minutes plus tard, une activité anormale sur les outils de filtrage forçait Chainalysis à fermer KYT, Address Screening et la page de connexion.

La page de connexion était inaccessible. Plus personne ne pouvait réinitialiser son mot de passe. Dans sa mise à jour de 10 h 30, Chainalysis écrivait : « Pour les clients qui viennent de recevoir un courriel de notre part vous demandant de réinitialiser votre mot de passe Chainalysis, cette réinitialisation ne sera pas possible dans l'immédiat. Nous vous encourageons néanmoins, le cas échéant, à réinitialiser votre mot de passe sur les autres systèmes où vous réutiliseriez ces mêmes identifiants. »

À 23 h 00 EST, Chainalysis a remplacé l'avis partiel sur les mots de passe par la révélation touchant l'ensemble des utilisateurs, rapportée par The Hacker News et TechRadar Pro. « Lundi, nous avons découvert que certaines informations clients, notamment les noms, les noms d'utilisateur, les hachages de mots de passe et les jetons actifs de tous les utilisateurs de Chainalysis, avaient été exposées à un acteur malveillant », a écrit l'entreprise.

Jetons actifs, hachages de mots de passe et interception sur le chemin réseau

Deux problèmes d'identifiants se superposent dans les révélations du 4 novembre. La découverte du lundi portait sur les hachages de mots de passe et les jetons actifs de tous les utilisateurs. Un hachage de mot de passe ne peut pas être saisi directement dans un formulaire de connexion, même si des attaquants peuvent mener des tentatives de cassage hors ligne sur les hachages volés en fonction de la robustesse du mot de passe et de l'algorithme de hachage. Chainalysis n'a pas précisé quel algorithme protégeait ces hachages.

Les jetons de session actifs posent en revanche un problème immédiat. Un jeton de session est délivré après qu'un utilisateur a franchi les vérifications du mot de passe et de l'authentification multifacteur. Quiconque détient un jeton actif valide peut usurper cette session auprès d'une application web ou d'une API jusqu'à ce que le serveur révoque le jeton ou coupe le service. Cela correspond à l'enchaînement observé le 4 novembre, lorsque Chainalysis a constaté une activité anormale sur ses outils de filtrage et confirmé que certains comptes KYT semblaient avoir été consultés sans autorisation.

Vient ensuite « l'attaque sur le chemin réseau » révélée mercredi à 9 h 50 EST, qui a exposé un sous-ensemble de mots de passe.

"Également connues sous le nom d'attaques de l'adversaire du milieu (adversary-in-the-middle), les attaques sur le chemin réseau surviennent lorsqu'un pirate prend le contrôle d'un élément d'infrastructure acheminant le trafic entre deux parties. Chainalysis n'a toujours pas précisé où s'est produite la compromission de l'infrastructure ni si les données ainsi obtenues étaient chiffrées par TLS." Dan Goodin, rédacteur en chef sécurité chez Ars Technica, le 6 novembre 2026.

La question soulevée par Dan Goodin dans Ars Technica pointe le détail manquant. Si le trafic entre un navigateur et Chainalysis était chiffré en TLS, un attaquant placé sur une liaison externe ne verrait que du texte chiffré. Le fait d'avoir capturé les mots de passe d'un sous-ensemble d'utilisateurs laisse penser que l'interception a eu lieu au niveau ou en aval d'un point de terminaison TLS, tel qu'un proxy inverse, un répartiteur de charge ou un service d'authentification. Nous ignorons lequel.

Ce que signifient ici les « techniques agentiques offensives »

Le bulletin de Chainalysis du 30 octobre, relayé par SecurityWeek et Help Net Security, avait retenu l'attention en raison d'une phrase : « Ce mois-ci, Chainalysis a détecté un acteur externe utilisant des techniques agentiques offensives pour obtenir un accès non autorisé aux systèmes et aux outils internes de Chainalysis. »

En sécurité offensive, les outils agentiques désignent des agents d'IA autonomes capables d'analyser des dépôts de code, d'extraire des identifiants, d'interpréter les résultats et d'exécuter les étapes suivantes sans attendre qu'un opérateur humain saisisse chaque commande. Dans son article du 6 novembre consacré à la brèche, The Hacker News a cité les travaux de Microsoft Threat Intelligence sur des cadres d'attaque autonomes tels qu'ARTEX, qui permettent aux assaillants de rechercher plus rapidement des secrets dans de multiples dépôts et « d'utiliser les agents pour analyser les résultats et mener des attaques subséquentes, réduisant ainsi le besoin pour l'acteur malveillant d'intervenir manuellement au clavier tout au long de la chaîne d'attaque ».

Chainalysis n'a nommé ni l'auteur de la menace ni les outils agentiques précis utilisés en octobre. Des agents autonomes ont pu trouver le point d'entrée initial dans les outils internes avant que des opérateurs humains n'interviennent pour intercepter les mots de passe et extraire la base de jetons des utilisateurs. À moins que les outils automatisés n'aient progressé plus profondément dans l'infrastructure par eux-mêmes ; Chainalysis ne l'a pas précisé.

Pourquoi une panne de Chainalysis frappe les administrations et les banques

Le cofondateur Jonathan Levin occupe le poste de PDG de Chainalysis depuis décembre 2024, après avoir succédé au cofondateur Michael Gronager. Au sein des forces de l'ordre, de la défense, des autorités de régulation, des banques et des plateformes d'échange de cryptomonnaies, les outils de l'entreprise sont intégrés au travail quotidien d'enquête et de conformité.

Reactor est la plateforme d'enquête visuelle de Chainalysis permettant de relier des grappes de portefeuilles de cryptomonnaies à des identités. Parmi les clients gouvernementaux américains documentés figurent le FBI, la division des enquêtes criminelles de l'IRS (IRS-CI), l'agence américaine de l'immigration et des douanes (ICE), la SEC, la DEA et l'US Air Force. KYT et Address Screening assurent quant à eux la conformité anti-blanchiment en temps réel pour les plateformes d'échange et les banques ; parmi les clients documentés du secteur privé figurent Microsoft, Coinbase, Barclays et BNY Mellon.

L'exposition des noms, noms d'utilisateur, adresses électroniques, identifiants d'utilisateur et intitulés de rôle de tous les utilisateurs offre à un attaquant un annuaire précis des enquêteurs et des analystes de conformité qui utilisent Chainalysis au sein de ces agences et de ces banques. La mise hors ligne de l'interface utilisateur et de l'API de KYT pendant plus de 40 heures entre le 4 et le 6 novembre a également interrompu le filtrage en direct pour les établissements qui interrogent KYT avant de valider des transferts de cryptomonnaies. Et pour les clients dont les comptes KYT ont été consultés sans autorisation, l'exposition englobe l'ensemble des requêtes et des alertes qui figuraient dans ces comptes.

Ce que Chainalysis n'a toujours pas expliqué

Chainalysis trace une ligne de démarcation stricte entre l'accès aux comptes KYT et les données d'enquête de Reactor. Dans sa mise à jour de 23 h 00 EST le 4 novembre, l'entreprise a déclaré : « Pendant que nous menions notre enquête, nous avons coupé l'accès à Reactor et à Data Solutions. À l'heure actuelle, nous continuons de n'avoir aucune preuve que des données d'enquête aient été consultées ou que les données d'attribution de Chainalysis aient été manipulées. »

La mise hors ligne de Reactor le lundi 2 novembre a peut-être tenu l'intrus à l'écart des graphes de dossiers actifs et des registres d'attribution. Les clients n'en réclameront pas moins une preuve forensique de cette étanchéité.

Ce qu'il faut surveiller tant que Reactor et Data Solutions restent éteints

Plusieurs questions demeurent ouvertes après la remise en service progressive de KYT et d'Address Screening le 6 novembre. La première est de savoir quand Reactor et Data Solutions reviendront en ligne, et si des agences comme le FBI, l'IRS-CI et la SEC y accéderont selon le même dispositif de liste blanche d'adresses IP ([email protected]), de réinitialisation de mots de passe et de rotation des clés API que celui appliqué à KYT. Nous verrons combien de temps prendra ce processus d'autorisation par liste blanche.

La deuxième est de savoir si Chainalysis divulguera le nombre de comptes KYT consultés sans autorisation, l'algorithme de hachage des mots de passe et l'emplacement précis de l'interception sur le chemin réseau. La troisième est de savoir si des clients signaleront des compromissions secondaires liées à des jetons volés ou à des mots de passe réutilisés avant la fermeture de la page de connexion le 4 novembre. Vendredi, Reactor restait toujours hors ligne.

Image de couverture : le cofondateur de Chainalysis Michael Gronager lors du Web Summit à Lisbonne en novembre 2022 (photo antérieure à l'incident), par Ben McShane / Web Summit via Sportsfile, CC BY 2.0, via Wikimedia Commons.