Chainalysis, l'expert du traçage des cryptomonnaies, dit avoir été piraté à l'aide d'agents d'IA

L'entreprise qui aide à remonter la piste des cryptomonnaies volées a dû enquêter sur sa propre intrusion. Le 30 octobre, Chainalysis a publié un billet et prévenu par e-mail ses clients concernés : un acteur extérieur est entré dans ses systèmes et ses outils internes. Pour décrire la méthode, elle emploie une formule inhabituelle : des « techniques agentiques offensives ».

Le terme renvoie aux agents d'IA, ces programmes capables d'enchaîner seuls des actions. L'entreprise ne le définit pas. Elle dit avoir détecté l'intrusion « ce mois-ci », sans donner de date, et travailler depuis à corriger des vulnérabilités et à renforcer ses systèmes. BleepingComputer, qui a relayé l'affaire le 31 octobre, a obtenu la confirmation d'un porte-parole.

Quelles données ont été consultées ?

Selon Chainalysis, des données qu'elle juge « non sensibles » ont été consultées : identifiants d'utilisateur, noms complets, adresses e-mail et rôles des personnes au sein de leur organisation. L'entreprise n'a pas fini d'établir quelles fiches de chaque organisation cliente ont été touchées.

Elle affirme en revanche n'avoir trouvé, « à ce stade de l'enquête », aucune trace d'accès au contenu des enquêtes, aux résultats de requêtes ou de transactions, aux mots de passe en clair, aux secrets de double authentification ni aux jetons de session. Elle précise aussi que l'incident n'a aucun lien avec le vol récent subi par Binance.

Des agents d'IA, mais lesquels ?

C'est la grande inconnue. Chainalysis ne dit ni quelles failles ont été exploitées, ni quels outils internes ont été atteints, ni ce qui lui permet de parler d'agents. BleepingComputer note qu'on ignore si les attaquants ont utilisé un outil offensif déjà connu, comme ARTEX, ou des agents conçus pour l'occasion. Selon Microsoft, ARTEX a servi dans la compromission du service de sauvegarde de ConnectWise, que nous avions détaillée dans notre article sur les 162 environnements Microsoft 365 ouverts aux pirates.

Aucun attaquant n'est nommé. Pour sa défense, Chainalysis dit travailler avec des experts extérieurs et utiliser elle-même de grands modèles de langage pour passer sa plateforme en revue.

Que faire si vous êtes client ?

Les données exposées suffisent à monter des messages trompeurs crédibles : un nom, une adresse professionnelle et une fonction. Chainalysis recommande :

• d'activer la double authentification, via votre responsable de compte si votre organisation ne l'a pas encore fait ;
• de vous méfier des demandes de réinitialisation de mot de passe et des demandes d'authentification inattendues ;
• selon BleepingComputer, de rester vigilant face aux escrocs qui se feraient passer pour Chainalysis, notamment avec de fausses offres de récupération de fonds ou de recrutement.

L'entreprise promet des informations à ses clients au fil de l'enquête. Si elle détaille un jour le rôle réel des agents d'IA dans l'attaque, ce sera l'un des premiers récits documentés d'une telle intrusion par la victime elle-même.