Um incidente de segurança na Chainalysis, empresa conhecida por analisar transações em redes de criptomoedas, expôs informações de usuários e tokens ativos de acesso. A companhia afirmou que o roubo atingiu nomes, nomes de usuário, hashes de senhas e tokens de todos os clientes da plataforma. O caso foi detalhado pela Ars Technica em 6 de novembro de 2026.
A empresa disse que o ataque foi multifrontal e envolveu técnicas assistidas por agentes de inteligência artificial. Também revelou que parte do incidente incluiu um ataque on-path, no qual o invasor consegue ficar entre duas partes que trocam informações. O episódio é importante para qualquer equipe que administra contas corporativas, APIs ou serviços em nuvem, porque mostra que a exposição não depende apenas de uma senha simples.
O que foi exposto
Os dados mencionados pela Chainalysis incluem nomes, identificadores de usuário, funções dentro das organizações, hashes de senha e tokens ativos. Um hash é uma representação matemática da senha, criada para que o sistema possa verificar uma tentativa sem armazenar o texto original. O hash não é a mesma coisa que a senha em claro, mas pode ser alvo de tentativas de quebra, especialmente quando foi produzido com configuração fraca ou com um algoritmo inadequado.
Tokens são ainda mais sensíveis em determinados cenários. Eles funcionam como credenciais temporárias ou persistentes que confirmam que uma pessoa, aplicativo ou serviço já foi autenticado. Se um token ativo cai nas mãos de um invasor, ele pode permitir acesso sem que a senha seja digitada novamente. Por isso, a rotação de tokens e a revogação de sessões são respostas prioritárias depois de um incidente.
A Chainalysis informou que desativou páginas de login e serviços ligados ao monitoramento de transações enquanto investigava a intrusão. O acesso a produtos como Reactor e Data Solutions também foi interrompido temporariamente. Em seguida, a empresa começou a liberar parte do acesso e pediu que clientes informassem endereços IP confiáveis para uma lista de permissão.
Como funciona um ataque on-path
Em um ataque on-path, o criminoso não precisa invadir diretamente o computador de cada usuário. Ele tenta controlar ou observar uma infraestrutura por onde passa a comunicação. Dependendo da arquitetura, isso pode ser um roteador, um proxy, um servidor intermediário ou uma parte do ambiente de autenticação. O objetivo é capturar, modificar ou redirecionar dados durante o caminho.
Conexões protegidas por TLS dificultam a leitura do conteúdo, mas não eliminam todos os riscos. Uma falha na configuração, um certificado comprometido ou um componente intermediário mal protegido pode criar uma oportunidade. A Chainalysis ainda não explicou onde ocorreu o comprometimento nem se os dados observados estavam criptografados de forma que impedisse a leitura.
Esse ponto é relevante porque segurança não termina quando o aplicativo usa HTTPS. É preciso proteger chaves, certificados, dispositivos, serviços de identidade, registros e integrações. Uma empresa pode ter criptografia forte no transporte e ainda manter tokens com duração excessiva ou permissões amplas demais.
O papel dos agentes de IA
A Chainalysis disse que o invasor usou técnicas ofensivas assistidas por agentes de IA para obter acesso a sistemas e ferramentas internas. A descrição não informa qual modelo foi utilizado, quais tarefas foram automatizadas ou se a IA teve autonomia completa. É importante manter essa distinção: o caso demonstra que agentes podem fazer parte de uma operação criminosa, mas não prova que um sistema tenha executado todas as etapas sozinho.
Mesmo com participação humana, agentes podem acelerar reconhecimento, testes de credenciais, pesquisa de documentação e adaptação de comandos. Isso reduz o tempo disponível para a defesa responder. Equipes precisam acompanhar sinais de automação, limitar privilégios e observar comportamentos que não combinam com o histórico do usuário ou do aplicativo.
O que equipes devem revisar
Depois de um incidente como esse, a primeira medida é revogar tokens ativos e exigir a troca de credenciais. Também é necessário revisar sessões abertas, chaves de API, contas de serviço e integrações de terceiros. A redefinição de senha não basta se um aplicativo continua aceitando uma chave antiga.
A autenticação multifator precisa estar ativa, mas a proteção não deve depender somente de um segundo código. Políticas de acesso condicional, listas de IP, limites de escopo e expiração curta reduzem o impacto de uma credencial roubada. Cada integração deve receber apenas as permissões indispensáveis para realizar sua tarefa.
Registros detalhados também são fundamentais. Horário, endereço de origem, dispositivo, método de autenticação e ações executadas ajudam a separar uso legítimo de atividade anormal. A equipe deve definir previamente quanto tempo manter esses registros e como proteger o próprio sistema de observabilidade.
O impacto para empresas brasileiras
Embora a Chainalysis tenha sede e clientes internacionais, o padrão de risco vale para empresas brasileiras que usam plataformas de análise, bancos digitais, provedores de nuvem e APIs de terceiros. O acesso de um fornecedor pode alcançar informações de clientes, operações financeiras ou sistemas internos. Por isso, contratos precisam estabelecer prazos de notificação, responsabilidades e medidas de contenção.
O caso também reforça a importância de não tratar tokens como detalhes técnicos invisíveis. Eles devem entrar no inventário de ativos, ter dono, validade e processo de revogação. Um segredo exposto em uma ferramenta de logs ou em um ambiente de testes pode ser tão perigoso quanto uma senha vazada.
A principal lição é direta: a defesa precisa proteger identidade, sessão e infraestrutura ao mesmo tempo. Quando um ataque combina agentes automatizados com acesso a sistemas intermediários, cada minuto de permanência aumenta o dano potencial. Rotação rápida, privilégios mínimos e monitoramento contínuo são medidas práticas que reduzem esse risco.
Crédito da imagem: Getty Images | Yuichiro Chino. A imagem representa uma blockchain formada por elos e códigos digitais.
