Le fournisseur d'infrastructures blockchain Chainstack a annoncé avoir été victime d'une intrusion dans ses systèmes. Un attaquant a pu accéder à des informations concernant les clients, incluant les noms d'organisation, les noms des titulaires de compte, les adresses e-mail et les empreintes de mots de passe. L'entreprise demande à tous ses utilisateurs de changer leurs mots de passe et de renouveler les identifiants permettant d'accéder aux nœuds blockchain. Elle précise que ses services sont restés opérationnels pendant l'incident et que les nœuds des clients n'ont pas été altérés. Chainstack affirme ne pas stocker de données de paiement complètes, qui n'ont donc pas été compromises.

L'entreprise a rendu public un premier rapport sur cet événement le 3 novembre 2026, puis l'a mis à jour à deux reprises, la dernière le 11 novembre. Des détails techniques à destination des experts en sécurité ont été ajoutés le 10 novembre. Le site The Block a rapporté l'affaire le 12 novembre, après que Chainstack a déclaré la menace maîtrisée. Le nombre exact de clients affectés n'a pas été communiqué, mais l'entreprise a indiqué qu'ils seraient tous contactés individuellement par courriel.

Selon l'enquête de Chainstack, l'intrusion a été réalisée par un acteur externe via un composant tiers. La société dit avoir détecté l'attaque, bloqué les accès et renforcé ses défenses. L'attaquant a pu consulter une base de données contenant les coordonnées des organisations clientes et les empreintes cryptographiques de leurs mots de passe. Bien que ces empreintes, ou hash, ne correspondent pas aux mots de passe en clair, des combinaisons simples pourraient être retrouvées par des attaques par force brute.

Chainstack met en garde contre les risques de credential stuffing, une méthode où les pirates testent automatiquement des identifiants volés sur d'autres plateformes. Elle recommande donc à ses clients d'utiliser des mots de passe uniques et de les modifier également sur tout autre service où ils seraient réutilisés. L'entreprise considère également comme potentiellement exposés les identifiants d'accès aux nœuds blockchain des clients, même si aucune preuve de leur consultation n'a été trouv00e9e. Par précaution, elle a mis en place un système de renouvellement en libre-service dans la console d'administration.

Ce processus de rotation permet aux anciens identifiants de rester actifs jusqu'à ce que le client les remplace, évitant ainsi une interruption de service pour les applications connectées. Les utilisateurs doivent également générer de nouvelles clés d'API, qui servent à gérer les nœuds. Une attaque sur ces clés pourrait entraîner des coûts supplémentaires ou perturber des services. Chainstack fournit un accès à des nœuds pour plus de 70 réseaux blockchain, dont Ethereum, Solana et Arbitrum, principalement à destination des développeurs d'applications de trading ou de finance décentralisée.

L'analyse technique de l'incident a révélé plusieurs failles de sécurité. Le point d'entrée était une instance de test du logiciel Grafana, accessible sur internet depuis juillet sans authentification renforc00e9e et configurée avec des identifiants administrateur par défaut. À partir du 26 octobre, l'attaquant a utilisé une fonction de ce logiciel pour interagir avec des services internes. Il a ensuite atteint un serveur interne utilisant le Model Context Protocol, qui était totalement ouvert et disposait de privilèges étendus. Le 29 octobre, il a obtenu des accréditations machine lui donnant accès à l'environnement de production. Le 31 octobre, selon le rapport, l'attaquant a extrait en masse des secrets du coffre de production, s'est connecté au réseau des bases de données via une clé VPN compromise et a interrogé les bases de production. Chainstack a finalement détecté et contenu cette activité. L'entreprise a depuis complété son rapport avec des indicateurs de compromission pour aider d'autres organisations à se protéger.