In breve
Secondo Chainalysis, i token attivi e gli hash delle password di tutti i suoi utenti sono stati esposti e ogni cliente deve reimpostare le password e ruotare le chiavi API. La società di analisi blockchain, i cui strumenti di screening sono usati da banche, exchange e agenzie statunitensi, ha messo offline la sua API KYT per lo screening delle transazioni il 4 novembre 2026 e ha avviato un ripristino graduale il 6 novembre. Per le piattaforme fintech e crypto che chiamano API di compliance nei flussi di pagamento, l’incidente dimostra perché credenziali e interruzioni dei fornitori richiedono un piano dedicato.
Che cosa ha comunicato Chainalysis?
Il 30 ottobre Chainalysis ha comunicato per la prima volta che un attore esterno aveva usato tecniche offensive assistite da agenti di IA per entrare nei suoi sistemi e strumenti interni. In quel momento l’azienda definiva i dati esposti «non sensibili»: ID utente, nomi completi, indirizzi email ed etichette di ruolo nell’organizzazione, senza segni di furto di password, segreti MFA o token di sessione.
Il quadro è cambiato il 4 novembre. In un aggiornamento mattutino Chainalysis ha spiegato che un «attacco on-path», noto anche come attacco man-in-the-middle, aveva esposto una parte delle password dei clienti, e ha bloccato gli account interessati. In tarda serata ha aggiunto che un’indagine di lunedì 2 novembre aveva accertato l’esposizione di nomi, username, hash delle password e token attivi di tutti gli utenti Chainalysis. Dopo aver rilevato attività anomale, ha messo offline l’interfaccia e l’API KYT, i prodotti di Address Screening e la pagina di login, e ha iniziato ad avvisare i clienti i cui account KYT sembravano essere stati usati senza autorizzazione.
| Data (2026) | Aggiornamento di Chainalysis |
|---|---|
| 30 ottobre | Incidente comunicato; metadati di identità consultati; citate tecniche assistite da agenti di IA |
| 2 novembre | L’indagine accerta l’esposizione di hash delle password e token attivi di tutti gli utenti (comunicato il 4 novembre) |
| 4 novembre | Attacco on-path confermato; interfaccia e API KYT, Address Screening e pagina di login offline |
| 6 novembre | Ripristino graduale di KYT e Address Screening; reset delle password e rotazione delle chiavi API obbligatori |
Perché l’incidente va oltre Chainalysis?
Chainalysis fa parte degli stack di compliance di altre aziende. Exchange, banche e società di pagamento chiamano la sua API KYT per analizzare le transazioni crypto alla ricerca di legami con sanzioni, frodi o riciclaggio. Secondo Ars Technica, fonti pubbliche indicano tra gli utenti enti come l’FBI, l’agenzia statunitense per l’immigrazione ICE e la US Air Force, oltre ad aziende come Microsoft, Coinbase e Barclays. Quando l’API si è fermata, i clienti che eseguono lo screening in automatico hanno perso questo controllo fino al ritorno dell’accesso.
Due domande restano aperte. Chainalysis non ha detto dove sia avvenuta la compromissione on-path né se il traffico intercettato fosse cifrato, e non ha descritto gli agenti di IA utilizzati. Afferma di non aver trovato prove di accesso ai dati investigativi né di manipolazione dei dati di attribuzione.
Che cosa significa per i team software negli Stati Uniti e nell’UE?
La lezione pratica: un fornitore di compliance è sia un detentore di credenziali sia un single point of failure. Ogni chiave API o token rilasciato a un’integrazione di terze parti va considerato compromesso nel momento in cui il fornitore segnala una violazione, non quando finalmente chiede di ruotarlo. I team che conservano le chiavi dei fornitori in un secrets manager, con un responsabile e una procedura di rotazione testata, le sostituiscono in pochi minuti; quelli con chiavi scritte nel codice dei servizi o nelle variabili CI impiegano giorni solo per trovarle.
La gestione dei disservizi conta altrettanto. Se il vostro flusso di onboarding o di prelievo si blocca in attesa di una chiamata di screening, decidete in anticipo cosa succede quando il fornitore non risponde: mettere la transazione in coda, passarla a revisione manuale o rifiutarla per default (fail-closed). Le autorità si aspettano uno screening continuo, quindi «saltare il controllo» non è un’opzione. Nell’UE i prestatori di servizi per le cripto-attività autorizzati ai sensi di MiCAR rientrano anche in DORA, che richiede una gestione documentata del rischio ICT da terze parti e piani di uscita per i fornitori critici. Negli Stati Uniti banche partner e revisori hanno aspettative simili.
L’incidente è anche un’ulteriore prova delle intrusioni assistite dall’IA contro piattaforme SaaS. Gli alert sull’uso anomalo dell’API per singola chiave – nuovi IP di origine, orari insoliti, picchi improvvisi di volume – sono il modo più economico per accorgersi che un token rubato a un fornitore viene usato contro di voi.
Che cosa significa per il mercato italiano?
In Italia la Consob e la Banca d’Italia sono le autorità competenti per MiCAR, e i CASP autorizzati sono soggetti a DORA, applicabile dal 17 gennaio 2025. Un fornitore di screening come Chainalysis va quindi inserito nel registro delle informazioni sui fornitori terzi di servizi ICT, con una strategia di uscita e un piano di continuità testato. Gli obblighi antiriciclaggio di adeguata verifica, comprese le segnalazioni di operazioni sospette alla UIF, non si sospendono durante un disservizio: se lo screening automatico si ferma, restano la revisione manuale o il blocco della transazione.
Poiché sono coinvolti nomi e username dei vostri dipendenti, il DPO deve anche valutare se sia necessaria la notifica al Garante per la protezione dei dati personali entro 72 ore, ai sensi dell’art. 33 del GDPR. Per gli operatori che dipendono da pochi fornitori di compliance esteri, è il momento giusto per verificare clausole di audit e tempi di notifica degli incidenti nei contratti.
Cosa devono fare subito i team che usano API di compliance?
- Ruotate subito. Se usate Chainalysis, ruotate le chiavi API e reimpostate le password appena l’accesso viene ripristinato, e cambiate le password riutilizzate altrove.
- Censite le credenziali dei fornitori. Elencate ogni chiave di terze parti: dove è conservata, chi ne è responsabile e quanto richiede la rotazione.
- Limitate e accorciate. Usate allowlist IP, privilegi minimi e token a breve scadenza ovunque il fornitore lo consenta.
- Progettate per il disservizio del fornitore. Definite e testate coda, revisione manuale o fail-closed per le chiamate di screening.
- Monitorate l’uso per chiave. Alert su nuovi IP, picchi di volume e chiamate fuori dagli orari abituali.
- Verificate i contratti. Confermate tempi di notifica degli incidenti e opzioni di uscita con i fornitori critici, come DORA richiede alle aziende UE interessate, e riportateli nel registro delle informazioni.
Domande frequenti
Che cosa è successo a Chainalysis?
Chainalysis ha comunicato il 30 ottobre 2026 che un attore esterno, con quelle che ha definito tecniche agentiche offensive, aveva avuto accesso ai suoi sistemi e strumenti interni. Negli aggiornamenti del 4 novembre ha precisato che un attacco on-path aveva esposto una parte delle password dei clienti e che nomi, username, hash delle password e token attivi di tutti gli utenti Chainalysis erano stati esposti a un attore malevolo.
Quali servizi Chainalysis sono stati messi offline?
Il 4 novembre, dopo aver rilevato attività anomale, Chainalysis ha messo offline l’interfaccia e l’API KYT, i prodotti di Address Screening e la pagina di login. Anche Reactor, Data Solutions e Chain (Beta) erano offline. Il 6 novembre ha iniziato a ripristinare KYT e Address Screening per fasi.
Che cosa devono fare i clienti Chainalysis?
Chainalysis chiede ai clienti di inviare indirizzi IP fidati per una allowlist. Una volta ripristinato l’accesso, ogni utente deve reimpostare la password e, se applicabile, ruotare le chiavi API prima di registrare transazioni. Raccomanda inoltre di attivare l’autenticazione a due fattori e di cambiare le password riutilizzate su altri servizi.
Sono stati rubati dati investigativi?
Chainalysis afferma di non aver trovato prove di accesso ai dati investigativi né di manipolazione dei dati di attribuzione. Non ha detto dove sia avvenuto l’attacco on-path né fornito dettagli sugli agenti di IA utilizzati, quindi la portata completa resta sconosciuta.
L’incidente è collegato al furto su Binance?
No. Chainalysis afferma che l’incidente non ha alcun legame con il recente furto di criptovalute su Binance.
Fonti
Chainalysis — Security incident update (fonte primaria, aggiornata il 6 novembre 2026)
Ars Technica — Chainalysis says hackers stole credentials and tokens for all of its customers (6 novembre 2026)
BleepingComputer — Chainalysis says breach exposed credentials for all customers (6 novembre 2026)