Quand une entreprise qui fournit l'infrastructure de la blockchain à d'autres entreprises se fait pénétrer, ce sont potentiellement tous ses clients qui doivent revoir leurs accès. C'est la situation de Chainstack, qui a divulgué mardi une intrusion allant jusque dans certaines parties de ses systèmes de production. Au-delà du cas d'espèce, l'incident s'ajoute à une série d'attaques où des agents d'intelligence artificielle accélèrent le travail des pirates.
Ce que Chainstack a reconnu
Selon The Hacker News, Chainstack a confirmé avoir été visée par une cyberattaque ayant permis à une partie non autorisée d'accéder à certaines portions de son infrastructure. L'entreprise affirme qu'un attaquant externe est entré par un composant tiers, puis qu'elle a détecté l'intrusion, coupé les chemins d'accès et entrepris de durcir ses systèmes.
La chronologie fournie par la société est serrée. L'attaquant a obtenu l'accès à un environnement de développement le 26 octobre 2026, avant d'élever ses privilèges pour atteindre « certaines parties » de l'environnement de production. L'intrusion a été détectée le 31 octobre, et l'accès a été coupé le jour même. Il s'est donc écoulé environ cinq jours entre la première brèche et sa détection.
Les données touchées sont de deux ordres, d'après The Hacker News. D'abord, une base de données de comptes clients : noms d'organisations, noms des titulaires de comptes, adresses courriel des membres des organisations et empreintes de mots de passe. Ensuite, des systèmes contenant des identifiants de nœuds. Chainstack dit n'avoir aucune preuve que ces derniers ont été lus, mais les traite comme exposés et demande à ses clients de les renouveler.
Pourquoi les « empreintes » comptent
Une empreinte de mot de passe (hash) n'est pas le mot de passe lui-même : c'est le résultat d'une opération mathématique à sens unique, stocké pour vérifier la saisie sans conserver le secret en clair. Cela ne rend pas la fuite anodine. Un pirate qui détient ces empreintes peut tenter de les casser hors ligne, à grande vitesse, surtout si les mots de passe sont courts ou réutilisés ailleurs.
C'est pourquoi les consignes de Chainstack vont au-delà des mots de passe de la plateforme. Les clients doivent régénérer leurs clés d'API, mettre à jour leurs mots de passe, y compris sur d'autres services où le même aurait été réutilisé, et se méfier des tentatives d'hameçonnage. La liste de courriels et de noms d'organisations offre en effet un excellent point de départ pour des messages frauduleux ciblés.
Les identifiants de nœuds ajoutent une dimension propre au secteur. Chainstack héberge pour ses clients des accès à des réseaux blockchain; des identifiants compromis pourraient, en théorie, servir à utiliser ces accès à leur place. L'entreprise n'a pas dit qu'un tel usage avait eu lieu.
Une campagne plus large, portée par ARTEX
The Hacker News précise que l'incident est évalué comme faisant partie d'une campagne d'attaques à grande échelle, alimentée par l'IA, révélée la semaine dernière. Chainstack n'a pas détaillé la méthode, mais l'attaque présenterait des recoupements avec une campagne menée par un groupe lié à la Chine contre des entreprises de grande valeur à l'aide d'ARTEX.
ARTEX est un cadriciel de test d'intrusion qui exploite des agents d'IA. Selon Microsoft, il s'agit d'un outil open source capable d'utiliser n'importe quel modèle d'IA pour automatiser divers flux de travail offensifs. Dans son rapport du 21 octobre, Microsoft attribue à Storm-0940, un acteur aligné sur l'État chinois, des attaques automatisées contre des centaines d'organisations dans le monde, certaines ayant permis d'obtenir un accès privilégié à l'infrastructure infonuagique en moins de trois heures.
D'autres chercheurs décrivent un phénomène plus vaste. D'après CSO Online, CrowdStrike a observé un groupe nommé VAPOR PANDA utiliser ARTEX contre plus de 200 organisations dans au moins 14 pays, sur une période de 11 jours à partir du 17 octobre, avec une activité postérieure à l'intrusion confirmée dans neuf cas. Cybersecurity Dive rapporte pour sa part que Wiz a vu l'outil servir contre des fournisseurs d'identité, dont Okta, Cognito et Microsoft Entra, et que le groupe Google Threat Intelligence et Mandiant ont constaté que d'autres cadriciels comme Cairn et PentAGI sont aussi détournés.
Une précision s'impose sur le rôle réel de l'IA. Selon CSO Online, ARTEX fait travailler plusieurs agents sous direction humaine, les opérateurs intervenant aux points de décision clés. On est donc loin d'un pirate entièrement autonome : l'IA accélère la reconnaissance, le piratage de mots de passe par essais massifs et l'exploitation, mais des humains pilotent encore l'ensemble.
D'autres victimes dans le même sillage
Chainstack n'est pas seule. Le fournisseur de plateforme d'API WorkOS a divulgué un incident lié au même cadriciel, découvert le 30 octobre. Selon The Hacker News, il s'est limité à ses systèmes de mise en marché et n'a touché ni les systèmes de production ni les données des plateformes clientes. Ce qui a été consulté comprend des coordonnées d'affaires, des historiques de comptes, des résumés d'appels de vente et des extraits de conversations Slack de clients. Le chef de la direction de WorkOS, Michael Grinich, affirme que ses systèmes de production sont sûrs, rapporte DEV Community, qui souligne aussi que WorkOS n'a pas nommé de groupe responsable et que l'attribution reste à ce stade non établie.
La semaine précédente, la société d'analyse de blockchains Chainalysis avait annoncé avoir détecté un acteur recourant à des « techniques agentiques offensives » pour accéder à ses systèmes et outils internes. SecurityWeek indique que les données consultées touchent des identifiants d'utilisateurs, noms, adresses courriel et intitulés de rôle, sans indice d'accès au contenu des enquêtes ni aux mots de passe en clair. Chainalysis qualifie ces données de non sensibles, une étiquette que certains observateurs contestent, puisque ses clients sont précisément des enquêteurs sur la criminalité crypto.
À noter : Chainalysis a précisé que son incident n'a aucun lien avec le vol de 6,3 milliards de dollars américains chez Binance. Rien n'indique non plus, dans les sources consultées, que Chainstack soit liée à cette affaire.
Binance : un autre type de menace, la même toile de fond
Le dossier Binance éclaire le contexte sans se confondre avec celui de Chainstack. Selon Fortune, Binance a expliqué mardi que des pirates nord-coréens avaient ciblé un ingénieur sur LinkedIn et organisé de faux entretiens d'embauche pour l'amener à télécharger un « devoir » malveillant. La Korea Times, qui reprend l'information de l'agence Reuters, précise que l'attaque a débuté en juin et que le FBI accuse un groupe nord-coréen, ce que Pyongyang rejette.
L'IA y joue un rôle, mais différent : toujours selon Fortune, les pirates ont d'abord misé sur l'hameçonnage classique, puis ont utilisé les propres outils d'IA internes de Binance, une fois l'ordinateur d'un ingénieur contrôlé, pour prendre le contrôle d'autres comptes. L'enseignement commun avec les affaires ARTEX est que l'IA n'est plus seulement une arme, mais aussi une surface d'attaque et un accélérateur à l'intérieur des entreprises.
Un secteur sous pression, des avertissements officiels
Les fournisseurs d'infrastructure du monde de la cryptographie sont des cibles de choix : ils concentrent des accès, des clés et des listes de clients au profil intéressant. Sur son site, Chainstack met en avant des certifications ISO/IEC 27001 et SOC 2, ce qui rappelle qu'une conformité attestée n'immunise pas contre un composant tiers vulnérable.
Le phénomène dépasse d'ailleurs le secteur. The Register rapporte que le Centre national de cybersécurité du Royaume-Uni juge « très probable » que des logiciels malveillants dopés à l'IA participent d'ici 2028 à une attaque par rançongiciel contre des infrastructures critiques britanniques, et note que l'abus d'ARTEX est de plus en plus observé depuis son lancement en juillet.
Ce qu'il faut retenir
Pour les clients de Chainstack, la marche à suivre est claire : renouveler les identifiants de nœuds et les clés d'API, changer les mots de passe, activer l'authentification à deux facteurs partout où c'est possible et traiter avec suspicion les courriels qui évoquent l'incident. Pour l'industrie, l'enjeu est la vitesse. Microsoft souligne que l'IA permet aux acteurs malveillants de faire croître leurs opérations de manière exponentielle; or, dans le cas de Chainstack, cinq jours se sont écoulés entre l'entrée et la détection.
Plusieurs questions restent ouvertes : le composant tiers en cause n'est pas nommé, le nombre de clients touchés n'est pas précisé, et le lien avec ARTEX relève pour l'instant d'une évaluation plutôt que d'une attribution formelle. Chainstack n'a pas non plus indiqué si les identifiants de nœuds ont réellement été exploités. Ces zones d'ombre devraient se préciser à mesure que l'enquête avance.