Il 30 ottobre 2026 Chainalysis, società americana specializzata in analisi della blockchain e molto usata da forze dell'ordine, exchange e istituzioni finanziarie, ha annunciato una violazione di dati. La parte più discussa non è la quantità di informazioni, che per ora appare limitata, ma il modo: l'azienda sostiene che un attore esterno ha usato "offensive agentic techniques", cioè tecniche offensive basate su agenti di intelligenza artificiale, per entrare in sistemi e strumenti interni. È uno dei primi casi in cui un fornitore di sicurezza di questo livello attribuisce pubblicamente un'intrusione a un attacco automatizzato di questo tipo.

Cosa è successo

Secondo le ricostruzioni di SecurityWeek e di Infosecurity Magazine, che riprendono il comunicato dell'azienda, i fatti noti sono pochi e vanno trattati con prudenza:

  • Accesso: un soggetto esterno ha ottenuto accesso non autorizzato a sistemi e strumenti interni usando tecniche "agentic". L'azienda non ha descritto il vettore iniziale, le vulnerabilità sfruttate né la durata dell'intrusione.
  • Dati consultati: informazioni sugli utenti della piattaforma ritenute non sensibili, ovvero ID utente, nome completo, indirizzo email ed etichetta del ruolo nell'organizzazione. L'azienda sta ancora verificando quali record dell'organizzazione del destinatario della comunicazione siano stati coinvolti e promette un'analisi dettagliata.
  • Dati che, secondo l'azienda, non risultano toccati: contenuti delle indagini (grafi, note, casi), risultati delle query sulle transazioni, password in chiaro, segreti MFA e token di sessione. Si tratta di una dichiarazione del fornitore, per ora non verificata da terzi, e l'indagine è ancora in corso.
  • Nessun legame con Binance: Chainalysis precisa che l'episodio non è collegato al recente furto di criptovalute ai danni di Binance, già trattato su questo sito.
  • Misure: lavoro con esperti esterni di cybersecurity, correzione delle vulnerabilità coinvolte e uso di modelli linguistici per una revisione più ampia della sicurezza della piattaforma. Ai clienti viene raccomandato di diffidare di richieste inattese di reset password o di autenticazione e di attivare l'MFA.

Restano senza risposta l'identità dell'attaccante, il numero di utenti coinvolti e la dinamica tecnica. Per questo conviene distinguere ciò che è documentato (l'accesso e i dati elencati) da ciò che è, al momento, una definizione dell'azienda ("agentic") non accompagnata da prove tecniche pubbliche.

Cosa significa per le aziende italiane

Dal punto di vista italiano, il valore di questa notizia sta in tre considerazioni.

1. Il rischio è sui clienti, non solo sul fornitore. I dati esposti (nome, email, ruolo) sono esattamente ciò che serve per costruire phishing credibile verso chi lavora in antiriciclaggio, compliance, investigazioni e forze dell'ordine, ambienti in cui la piattaforma è usata. Non servono password per fare danni: una mail che cita il ruolo reale e il nome del collega, con un finto invito a reimpostare l'accesso, ha un'ottima probabilità di funzionare. È il motivo per cui l'azienda stessa mette in guardia sui reset inattesi.

2. Gli agenti AI abbassano il costo dell'attacco, non cambiano le basi. Se un singolo operatore può far lavorare agenti che esplorano, provano credenziali e muovono lateralmente su molte superfici contemporaneamente, il tempo tra una configurazione debole e il suo sfruttamento si accorcia. Per una PMI questo significa che le "finestre di tolleranza" (un pannello esposto, una chiave in un repository, un account senza MFA) valgono meno di prima. Non è fantascienza né una scusa per l'allarmismo: le difese utili restano quelle di sempre, applicate con più disciplina e più velocità.

3. Il fornitore di analisi è anch'esso un fornitore critico. Banche, exchange e operatori di servizi per cripto-attività soggetti a MiCA e DORA dipendono da strumenti di terze parti per il monitoraggio delle transazioni. Un incidente a monte è un evento da registrare nella gestione del rischio ICT di terza parte, anche se i dati sensibili non risultano toccati.

Contesto normativo

  • GDPR: i dati di utenti identificabili (nome, email, ruolo) sono dati personali. Se la vostra organizzazione è titolare e gli utenti sono vostri dipendenti, valutate con il DPO se la comunicazione del fornitore configuri una violazione da documentare nel registro (art. 33, par. 5) e se sussista l'obbligo di notifica al Garante entro 72 ore dalla conoscenza. Con dati a basso rischio può bastare la sola documentazione, ma la scelta va motivata.
  • DORA: per gli enti finanziari, i fornitori ICT che supportano funzioni importanti vanno inclusi nel registro delle informazioni e nei processi di gestione degli incidenti di terza parte.
  • NIS2: per i soggetti essenziali e importanti, la valutazione del rischio di supply chain è un obbligo di misure di sicurezza; l'incidente di un fornitore va considerato nei criteri di significatività.

Cosa fare subito

  • Verificate se la vostra organizzazione usa Chainalysis o suoi prodotti e se avete ricevuto la comunicazione dell'azienda; in caso positivo informate DPO e responsabile sicurezza.
  • Attivate o verificate l'MFA per tutti gli utenti della piattaforma, preferibilmente con metodi resistenti al phishing (chiavi FIDO2).
  • Istruite i team interessati: nessun clic su reset password o richieste di autenticazione non richiesti; i reset si avviano solo dal portale digitando l'indirizzo a mano.
  • Rivedete gli account provisionati: rimuovete utenti non più attivi e riducete i ruoli al minimo.
  • Controllate i log di accesso alla piattaforma degli ultimi 30 giorni per accessi anomali o da località insolite.
  • Aggiornate il registro dei fornitori con l'incidente e con le azioni intraprese.
  • Per tutti gli altri: inventariate subito pannelli e servizi raggiungibili da Internet senza MFA e le chiavi API non ruotate; con attaccanti che automatizzano la ricerca, sono i primi punti che verranno provati.