El proveedor de infraestructura blockchain Chainstack informó el martes que fue objeto de un ciberataque que permitió a un tercero no autorizado acceder a determinadas partes de su infraestructura. La compañía considera que el incidente forma parte de una campaña de ataque a gran escala impulsada por inteligencia artificial que salió a la luz la semana pasada.
Un atacante externo obtuvo acceso no autorizado a parte de la infraestructura de Chainstack a través de un componente de terceros. Detectamos la intrusión, cortamos las rutas de acceso y estamos reforzando nuestros sistemas.
Según la cronología difundida por la empresa, el atacante logró acceso a un entorno de desarrollo el 26 de octubre de 2026 y después escaló sus privilegios hasta penetrar en algunas partes del entorno de producción. La intrusión se detectó el 31 de octubre de 2026 y el acceso del atacante se bloqueó ese mismo día.
Como parte del asalto, el actor de amenazas habría accedido a una base de datos con información de cuentas de clientes, incluidos nombres de organizaciones, nombres de titulares de cuentas, direcciones de correo electrónico de miembros de las organizaciones en Chainstack y hashes de contraseñas.
La compañía también señaló que el atacante tuvo acceso a sistemas que almacenan credenciales de nodos. Aunque no hay evidencia de que hayan sido leídas, la empresa las trata como expuestas y pide a los clientes que las roten. Además, recomienda regenerar las claves de API de la plataforma, actualizar contraseñas —incluidos otros servicios donde se haya reutilizado la misma contraseña— y mantenerse alerta ante posibles intentos de phishing.
Chainstack no ofreció detalles específicos sobre el ataque, pero se evalúa que comparte elementos con una campaña llevada a cabo por un grupo vinculado a China para atacar a empresas de alto valor mediante ARTEX.
WorkOS también afectado por ARTEX
El anuncio coincide con la revelación de la plataforma de API WorkOS sobre un incidente de seguridad en el que se utilizó el mismo marco de agentes autónomos de IA para llevar a cabo operaciones ofensivas. El incidente, detectado el 30 de octubre de 2026, se limitó a sus sistemas GTM y no afectó a los sistemas de producción ni a los datos de la plataforma de clientes.
Los datos a los que se accedió incluyen:
- Datos de contacto comerciales (nombres, direcciones de correo electrónico, números de teléfono, cargos y afiliaciones empresariales almacenados en su sistema de gestión de relaciones con clientes)
- Información de cuentas y relaciones comerciales (historiales de cuentas de clientes e información sobre ventas y relaciones con clientes)
- Comunicaciones con clientes (resúmenes y extractos de llamadas de ventas, conversaciones de soporte y conversaciones de Slack con clientes)
- Metadatos operativos (información sobre el uso de los productos de WorkOS por parte de los clientes, incluido el uso de productos y el estado de conexiones o directorios)
La brecha refleja una tendencia creciente en la que se emplean agentes de IA para diseñar estrategias de ataque personalizadas y automatizar distintas fases de la intrusión.
Esto aumenta la velocidad y la escala de los ataques que explotan debilidades como aplicaciones expuestas y credenciales robadas. Incrementa la necesidad de una remediación oportuna y de una monitorización capaz de conectar actividad sospechosa entre sistemas.
La semana pasada, la firma de análisis de blockchain Chainalysis también reveló que detectó a un actor externo que utilizaba técnicas agénticas ofensivas para obtener acceso a sus sistemas y herramientas internas. A fecha del 2 de noviembre de 2026, la compañía ha retirado de forma proactiva sus productos Reactor y Data Solutions.
Estamos monitorizando de cerca estos sistemas en busca de actividad inusual y les mantendremos informados de cualquier novedad para que puedan tomar decisiones fundamentadas para su negocio y sus operaciones.
Otra organización afectada por ARTEX es el Instituto Neerlandés para la Divulgación de Vulnerabilidades (DIVD). La brecha del 21 de septiembre de 2026 implicó la explotación de dos vulnerabilidades de día cero en el sistema de tickets de código abierto Zammad (CVE-2026-102489 y CVE-2026-102490), que permitieron a los atacantes escalar privilegios, ejecutar código de forma remota y exfiltrar datos.
Deja una respuesta