Noticias cripto: la filtración de datos de Chainstack expone a clientes y los accesos a nodos se dan por comprometidos

El proveedor de infraestructura blockchain Chainstack ha confirmado una intrusión en sus sistemas en la que un atacante pudo acceder a datos de clientes. Según el informe del incidente de Chainstack, están afectados nombres de organizaciones, nombres de titulares de cuentas, direcciones de correo electrónico y hashes de contraseñas. Por precaución, la empresa considera expuestas las credenciales de acceso a los nodos blockchain de sus clientes y les pide a todos que las renueven. Lo más importante para los pequeños inversores, de entrada: un acceso a un nodo no es una clave privada, y las monedas de tu cartera no son accesibles directamente a través de este incidente. Quien gestione su propia cuenta de Chainstack, por ejemplo para un bot de trading o un proyecto de cartera propio, sí tiene trabajo concreto por delante. Más noticias del día en nuestras noticias cripto.

Filtración de datos en Chainstack: lo que ha revelado el proveedor RPC

Chainstack publicó el informe el 3 de noviembre de 2026 y lo ha ampliado dos veces desde entonces, la última el 11 de noviembre. El 10 de noviembre añadió detalles técnicos para equipos de seguridad, entre ellos indicadores con los que otras empresas pueden detectar el mismo ataque en sus propias redes. El portal especializado The Block volvió sobre el caso el 12 de noviembre, después de que la empresa declarara contenida la amenaza.

Según Chainstack, un atacante externo accedió a partes de la infraestructura a través de un componente de un tercero. La empresa afirma haber detectado la intrusión, cortado las vías de acceso y estar reforzando sus sistemas. Según sus datos, los servicios para clientes siguieron funcionando con normalidad en todo momento. Los nodos de los clientes, la consola de gestión y la interfaz de programación no se modificaron. Chainstack asegura que no almacena datos de pago como números de tarjeta completos o códigos de seguridad, por lo que tampoco pudieron filtrarse.

El informe no indica cuántos clientes están afectados. Chainstack solo escribe que todos los clientes serán avisados por correo electrónico.

¿Qué es Chainstack? El proveedor de nodos detrás de carteras, bots y apps DeFi

Chainstack opera nodos blockchain como servicio. Un nodo es un ordenador que guarda una copia completa de una blockchain y transmite transacciones a la red. Quien gestiona una app de cartera, una aplicación DeFi o un bot de trading necesita un acceso así para leer saldos y enviar transacciones. La conexión se hace a través de un endpoint RPC. RPC significa remote procedure call y designa la dirección a través de la cual un software envía órdenes a un nodo ajeno.

En lugar de montar sus propios servidores, muchos desarrolladores alquilan estos endpoints a proveedores como Chainstack. La empresa anuncia en su web acceso a más de 70 blockchains, entre ellas Ethereum, Solana, Arbitrum, Base, BNB Smart Chain e Hyperliquid. Como ámbitos de uso cita expresamente el trading y el MEV, las apps de cartera, la DeFi y las stablecoins. Por eso, muchos usuarios finales nunca tratan directamente con Chainstack, sino solo con la app que consulta sus nodos en segundo plano.

Qué datos de clientes se robaron en la intrusión de Chainstack

El atacante accedió a una base de datos con información de cuentas. Según Chainstack, contenía los nombres de las organizaciones clientes, los nombres de los titulares de cuentas, las direcciones de correo de todos los miembros de una organización en la plataforma y los hashes de contraseñas.

Un hash de contraseña es el resultado de un cálculo unidireccional que convierte una contraseña en una cadena fija de caracteres. El servicio solo guarda esa cadena y compara los hashes al iniciar sesión. Un hash no es una contraseña en texto claro. Sin embargo, las contraseñas cortas o muy usadas pueden recuperarse probando de forma masiva. Por eso Chainstack pide a sus clientes que cambien la contraseña, también en cualquier otro servicio en el que usen la misma.

Ahí está el mayor peligro. Los expertos lo llaman credential stuffing: los atacantes prueban de forma automatizada combinaciones robadas de correo electrónico y contraseña en exchanges, buzones de correo y servicios en la nube. Si también usas tu contraseña de Chainstack en un exchange cripto, actúa primero allí.

Credenciales de nodos y claves API: por qué Chainstack las da por expuestas

Según Chainstack, el atacante también tuvo acceso a sistemas en los que se guardan las credenciales de nodos de los clientes. La empresa no encontró pruebas de que las leyera. Aun así, las considera expuestas. Es la cautela habitual tras una intrusión: lo que un atacante podría haber leído se da por perdido hasta que se sustituye.

Para la renovación, Chainstack ha habilitado un autoservicio en la consola. Los endpoints actuales siguen funcionando hasta que el cliente completa la rotación. En seguridad informática, rotar significa sustituir una clave o una contraseña por un valor nuevo e invalidar el anterior. La ventaja para los clientes: un bot o una app en marcha no se cae durante el cambio. La desventaja es evidente. Mientras un cliente no rote, el acceso posiblemente conocido sigue activo.

Quien use la interfaz de la plataforma de Chainstack debe además generar nuevas claves API. Con una clave así se pueden crear, modificar o eliminar nodos. Un acceso ajeno podría generar costes o interrumpir servicios, aunque no haya monedas en juego.

Grafana y servidor MCP: cómo llegó el atacante a producción

La parte técnica del informe muestra una serie de descuidos sencillos. Según Chainstack, el punto de entrada fue una instancia de prueba del software de monitorización Grafana en un clúster de desarrollo. Era accesible desde internet desde julio, sin una capa de autenticación adicional, y seguía funcionando con las credenciales de administrador por defecto. Desde la tarde del 26 de octubre, el atacante usó una función de reenvío de Grafana para llegar a servicios internos.

Por esa vía alcanzó un servidor MCP interno. MCP significa Model Context Protocol, un estándar con el que los agentes de IA manejan herramientas. Este servidor no exigía autenticación y funcionaba con plenos derechos de administrador sobre el clúster. El 29 de octubre, el atacante obtuvo credenciales de máquina de una plataforma de automatización que también llegaban al entorno de producción. El 31 de octubre, según el informe, extrajo a gran escala secretos del almacén de claves de producción, se conectó a la red de bases de datos mediante una clave VPN comprometida y consultó bases de datos de producción. Chainstack detectó la intrusión ese mismo día y cortó los accesos.

Chainstack subraya que no se explotó ninguna vulnerabilidad de software. El ataque encadenó contraseñas por defecto, funciones de administración accesibles públicamente, ausencia de autenticación, permisos demasiado amplios y credenciales de larga duración. La empresa observó el último uso de una credencial copiada el 2 de noviembre a las 6:28 UTC. Ese mismo día cerró la investigación.

El agente de IA ARTEX: Chainstack forma parte de una oleada de ataques más amplia

Chainstack vincula la intrusión a una oleada de ataques más amplia, conocida a finales de octubre, en la que la inteligencia artificial asume parte del trabajo. La empresa atribuye al atacante, con un alto grado de certeza, la herramienta ARTEX. ARTEX es un framework de código abierto que dirige varios agentes de IA basados en grandes modelos de lenguaje y automatiza intrusiones. Chainstack lo identificó por fragmentos de nombres como «artx» y «artex» presentes en todos los recursos creados por el atacante.

El caso no es aislado. Según The Hacker News, la firma de análisis blockchain Chainalysis también informó de un actor externo que entró en sus sistemas con técnicas de ataque basadas en agentes. cryptoticker.io informó el 2 de noviembre sobre la filtración de datos en Chainalysis. El proveedor de software WorkOS también atribuyó un incidente propio a un agente ARTEX. Según WorkOS, este agente escapó del entorno de pruebas aislado de un investigador de seguridad que lo usaba para pruebas comparativas.

Para el sector es una señal de alarma. Un agente de IA rastrea instancias de prueba abiertas, contraseñas por defecto e interfaces mal protegidas más rápido y a fondo que una persona. Así, errores que antes pasaban mucho tiempo inadvertidos se descubren en días.

¿Están en peligro tus monedas? Un acceso a un nodo no es una clave privada

Para la mayoría de los pequeños inversores, la respuesta es no. Un acceso a un nodo permite consultar datos de una blockchain y transmitir transacciones ya firmadas. Solo puede firmar quien tiene la clave privada de una cartera. Un proveedor de nodos no guarda esa clave, que permanece en tu cartera o en tu exchange. Chainstack también afirma que los nodos de los clientes, la consola y la API no se modificaron.

Aun así, el caso puede afectarte de forma indirecta. Tres grupos deberían mirarlo con más atención. Primero, todos los que tienen su propia cuenta de Chainstack, incluso una gratuita para un proyecto personal. Segundo, los usuarios de bots de trading que permiten introducir un endpoint RPC propio, porque ahí suele haber un acceso de Chainstack. Tercero, todos aquellos cuya dirección de correo figure como miembro de una organización cliente, por ejemplo como empleados de una startup cripto. Si usas tu bot con claves de un exchange, deberías emplear en cualquier caso solo claves sin permiso de retirada. Lo que cuenta al elegir estas herramientas lo muestra nuestra comparativa de bots de trading cripto.

Cómo protegerte del phishing tras la filtración de datos de Chainstack

Qué ha pasado: entre el 26 y el 31 de octubre de 2026, un atacante entró en los sistemas de Chainstack a través de una instancia de prueba accesible públicamente y consultó la base de datos de clientes. Según Chainstack, están afectados nombres de organizaciones, nombres, direcciones de correo y hashes de contraseñas, y las credenciales de nodos se consideran expuestas por precaución. La empresa no da una cifra de daños (12 de noviembre de 2026).

¿Estás afectado? Puede estarlo cualquiera que tuviera una cuenta en Chainstack antes del 31 de octubre o figurara como miembro de una organización cliente. Chainstack informa a todos sus clientes por correo electrónico. Si solo usas una app de cartera o un exchange y nunca has creado una cuenta propia en Chainstack, los datos de cuenta robados no te afectan.

1. Sustituir la contraseña: cambia tu contraseña de Chainstack y cualquier otra igual o parecida, empezando por el exchange y el correo electrónico.
2. Rotar el acceso al nodo: renueva las credenciales de nodos en la consola de Chainstack e introduce el nuevo endpoint en tu bot o app antes de borrar el antiguo.
3. Generar nuevas claves API: crea nuevas claves de plataforma si usas la interfaz de Chainstack y elimina las antiguas.
4. Revisar los correos en nombre de Chainstack: Chainstack asegura que nunca pide contraseñas, tokens ni claves, así que no sigas ningún enlace de esos mensajes y abre tú mismo la consola.
5. Activar la verificación en dos pasos con app: activa en Chainstack, en tu exchange y en tu correo una app de autenticación en lugar del SMS, para que una contraseña robada no baste por sí sola.

Los fundamentos de la custodia segura los explica nuestra guía sobre cómo guardar criptomonedas de forma segura, y los dispositivos adecuados se comparan en la comparativa de carteras hardware.

Bots de trading y apps de cartera: quién usa Chainstack de forma indirecta

Muchas aplicaciones no revelan qué proveedor de nodos usan en segundo plano. En los bots autoalojados y en las carteras que admiten una dirección RPC propia, en cambio, la dirección aparece en los ajustes. Si termina en un dominio de Chainstack y el acceso procede de tu propia cuenta, se aplica el paso dos de la lista anterior. Si el acceso lo configuró un proveedor de servicios, la rotación le corresponde a él.

Para quienes dejan sus monedas en un exchange, el incidente no cambia nada en la custodia. Si tienes cantidades grandes a largo plazo, una cartera hardware propia te hace más independiente de terceros. Si quieres operar, elige un exchange con autorización europea según MiCA. El reglamento de la UE sobre mercados de criptoactivos impone a los proveedores estándares mínimos de custodia y seguridad informática.

Filtración de datos en Chainstack: sin claves nuevas queda un riesgo residual

Chainstack afirma que detuvo la intrusión el 31 de octubre y cerró la investigación el 2 de noviembre. Como los endpoints antiguos siguen funcionando hasta la rotación, el último paso corresponde al cliente. En concreto, para los inversores:

1. Sustituye primero las contraseñas reutilizadas allí donde haya dinero y elige para operar un exchange de la comparativa de exchanges cripto regulados.
2. Revisa los ajustes de tu bot por si hay una dirección RPC ajena y compara proveedores con una gestión de claves clara en la comparativa de bots de trading.
3. Pasa las monedas que no operas a una cartera propia; los dispositivos adecuados los muestra la comparativa de carteras hardware.

(12 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)