Firma, która za ogromne pieniądze sprzedaje policji, służbom specjalnym i giełdom narzędzia do łapania kryptoprzestępców, nie upilnowała własnego podwórka. Chainalysis oficjalnie przyznała, że zewnętrzny atakujący uzyskał nieautoryzowany dostęp do jej systemów i narzędzi wewnętrznych, a następnie wyniósł dane użytkowników platformy. Komunikat z tym przyznaniem ukazał się 30 października – dokładnie tego samego dnia, w którym ta sama Chainalysis z miną wszechwiedzącej wyroczni wskazała sprawcę największego skoku w historii kryptowalut: według jej wersji około 6,4 mld dolarów z portfeli Binance wyprowadziła północnokoreańska grupa TraderTraitor.
Gdy zaczyna się czytać szczegóły podane przez samą firmę, detektywistyczna precyzja gdzieś się ulatnia. Podano jedynie, że włamanie zauważono „w tym miesiącu”. Atakujący wyniósł identyfikatory użytkowników, pełne imiona i nazwiska, służbowe adresy e-mail i stanowiska w organizacjach – również u tych klientów, do których Chainalysis rozsyła teraz mało radosne listy. Części poszkodowanych, jak twierdzi firma, przekazano informację wcześniej, w trybie poufnym. Ile rekordów łącznie wyciekło i czyje konta zostały wypatroszone, najwięksi analitycy planety wciąż nie policzyli: każdemu klientowi obiecują indywidualne zestawienie, „gdy tylko analiza zostanie zakończona”. Dziury, przez które wszedł włamywacz, łata się właśnie teraz, w biegu.
Tymczasem w publicznym komunikacie w miejscu wszystkich najważniejszych pytań zieje pustka: którego dokładnie dnia wykryto włamanie, ile tygodni atakujący rządził się w sieci, przez jaką podatność wszedł i z których „narzędzi wewnętrznych” zdążył skorzystać. Ani jednej liczby, ani jednej daty, ani jednego faktu technicznego.
Skradzione dane Chainalysis uspokajająco nazywa „niewrażliwymi”. Brzmi miło, jeśli zapomnieć, kto kupuje jej oprogramowanie: głównymi klientami firmy są organy ścigania, urzędy skarbowe i służby wywiadowcze, giełdy kryptowalut i banki. Pełne nazwiska, służbowe e-maile i funkcje czynnych śledczych od przestępstw kryptowalutowych to nie żadna „niewrażliwa drobnostka”, lecz gotowa złota książka adresowa do ukierunkowanego phishingu i szantażu. Chainalysis doskonale to rozumie: w tym samym tekście usilnie prosi klientów, by nie ufali niespodziewanym e-mailom o resecie hasła, powiadomieniom push z prośbą o potwierdzenie logowania ani oszustom, którzy dzwonią w imieniu pracowników firmy.
Winna jest AI, Binance nie ma z tym nic wspólnego
Osobny rozdział stanowi oficjalne wyjaśnienie przyczyn wpadki. Zaczyna się od klasycznego „wszystkim się dostało”: Chainalysis ucierpiała ponoć „podobnie jak wiele innych platform technologicznych w ostatnich tygodniach” – czyli włamują się teraz do wszystkich, prosimy nie oceniać surowo. Dalej do akcji wkracza ciężka artyleria marketingowa: wszystkiemu winny jest „ogólnobranżowy wzrost liczby cyberataków z użyciem AI” i jakieś „ofensywne techniki agentowe”. Co to za agent, kto go uruchomił, jak sztuczna inteligencja obeszła perymetr firmy, która zawodowo zajmuje się bezpieczeństwem – ani słowa. Za to wyrwę obiecują leczyć tym samym modnym proszkiem: do audytu zaangażowano zewnętrznych konsultantów i „zaawansowane duże modele językowe”. AI się włamała – niech więc AI teraz pilnuje.
Dwukrotnie w krótkim tekście firma nerwowo podkreśla, że to włamanie nie ma żadnego związku z kradzieżą miliardów z Binance. Chętnie wierzymy. Ironia leży zupełnie gdzie indziej. Kiedy okradziono cudzą giełdę, ekspertom Chainalysis wystarczyło osiem godzin, by wystawić precyzyjną diagnozę z przypisaniem do konkretnego państwa: odpływ środków zaczął się 29 października o 16:20 czasu nowojorskiego, a już o 0:30 światu przedstawiono Koreę Północną. Wczoraj szczegółowo opisywaliśmy, jak wygodnie jest zrzucać każdą wielomiliardową dziurę na knowania Pjongjangu. Ale wystarczyło, że ktoś wlazł na własne serwery Chainalysis, a legendarny wzrok detektywów natychmiast się wyłączył: włamywacz nie ma ani flagi, ani grupy, ani śladów – poza mglistym słowem „agentowy”.
Jeszcze zabawniej wygląda żonglowanie sformułowaniami wokół haseł. Na początku komunikatu firma raźno melduje, że nie znalazła śladów dostępu do „danych uwierzytelniających” w ogóle. Ale już kilka akapitów dalej, w liście do klientów, sformułowanie po cichu chudnie: jest tam mowa tylko o tym, że atakujący nie dotarł do haseł „w postaci jawnej”. Czyli hashe haseł, jak należy sądzić, mogły spokojnie odjechać w nieznanym kierunku – nie mówiąc już o pytaniu, dlaczego firma z branży cyberbezpieczeństwa w 2026 roku w ogóle wymienia „hasła w postaci jawnej” jako osobną kategorię. A końcowa rada dla klientów, by „włączyć uwierzytelnianie dwuskładnikowe, jeśli Państwa organizacja jeszcze tego nie zrobiła”, mimowolnie zdradza tajemnicę poliszynela: na zamkniętej platformie dla służb i śledczych finansowych do dziś można było spokojnie pracować bez drugiego składnika.
O tym, jak prawdziwe bezpieczeństwo zastępuje się witryną z certyfikatów i ładnych sloganów, pisaliśmy już w analizie Vanty. Witryna Chainalysis jest urządzona zgodnie ze wszystkimi kanonami gatunku: „eksperci światowej klasy”, „podejście obejmujące całą firmę”, „wzmocnienie poziomu bezpieczeństwa”. Brakuje tylko odpowiedzi na proste pytania: ile rekordów wyniesiono, ile dni intruz siedział w środku i którymi drzwiami wszedł. Ostatecznie wychodzi obrazek jak malowany: firma, która po blockchainie w osiem godzin znajduje północnokoreański ślad w cudzej kieszeni, o włamaniu do własnej kuchni potrafi powiedzieć tylko tyle, że winna jest bezosobowa AI, Binance na pewno nie ma z tym nic wspólnego, a wyciekły raptem nazwiska, e-maile i stanowiska ludzi, którzy z urzędu łapią hakerów.