Actualités crypto : la fuite de données chez Chainstack expose des clients, les accès aux nœuds jugés compromis

Le fournisseur d’infrastructures blockchain Chainstack a confirmé une intrusion dans ses systèmes, au cours de laquelle un attaquant a pu consulter des données clients. Selon le rapport d’incident de Chainstack, sont concernés les noms d’organisation, les noms des titulaires de compte, les adresses e-mail et les empreintes de mots de passe. Par précaution, l’entreprise considère comme exposés les identifiants d’accès aux nœuds blockchain de ses clients et demande à tous de les renouveler. L’essentiel pour les particuliers d’abord : un accès à un nœud n’est pas une clé privée, et les cryptos de votre portefeuille ne sont pas directement accessibles par cet incident. Ceux qui gèrent eux-mêmes un compte Chainstack, par exemple pour un bot de trading ou leur propre projet de portefeuille, ont en revanche du travail concret devant eux. Les autres informations du jour figurent dans nos actualités crypto.

Fuite de données chez Chainstack : ce que le fournisseur RPC a révélé

Chainstack a publié son rapport le 3 novembre 2026 et l’a complété deux fois depuis, la dernière le 11 novembre. Le 10 novembre se sont ajoutés des détails techniques destinés aux équipes de sécurité, notamment des indicateurs permettant à d’autres entreprises de repérer la même attaque sur leurs propres réseaux. Le site spécialisé The Block est revenu sur l’affaire le 12 novembre, après que l’entreprise eut déclaré la menace endiguée.

Selon Chainstack, un attaquant externe a accédé à une partie de l’infrastructure par l’intermédiaire d’un composant tiers. L’entreprise dit avoir détecté l’intrusion, coupé les voies d’accès et renforcer ses systèmes. Les services aux clients ont, selon elle, fonctionné normalement pendant toute la durée de l’incident. Les nœuds des clients, la console d’administration et l’interface de programmation n’auraient pas été modifiés. Chainstack affirme ne pas stocker de données de paiement telles que les numéros de carte complets ou les cryptogrammes, qui n’ont donc pas pu fuiter.

Le rapport ne précise pas le nombre de clients concernés. Chainstack indique seulement que tous seront informés par e-mail.

Qu’est-ce que Chainstack ? Le fournisseur de nœuds derrière portefeuilles, bots et applications DeFi

Chainstack exploite des nœuds blockchain en tant que service. Un nœud, node en anglais, est un ordinateur qui détient une copie complète d’une blockchain et relaie les transactions sur le réseau. Quiconque exploite une application de portefeuille, une application DeFi ou un bot de trading a besoin d’un tel accès pour lire des soldes et envoyer des transactions. La connexion passe par un point d’accès RPC. RPC signifie remote procedure call et désigne l’adresse par laquelle un logiciel envoie des commandes à un nœud tiers.

Plutôt que de monter leurs propres serveurs, de nombreux développeurs louent ces points d’accès auprès de fournisseurs comme Chainstack. Sur son site, l’entreprise met en avant l’accès à plus de 70 blockchains, dont Ethereum, Solana, Arbitrum, Base, BNB Smart Chain et Hyperliquid. Elle cite expressément le trading et le MEV, les applications de portefeuille, la DeFi et les stablecoins comme champs d’application. Beaucoup d’utilisateurs finaux n’ont donc jamais affaire directement à Chainstack, mais seulement à l’application qui interroge ses nœuds en arrière-plan.

Les données clients dérobées lors de l’intrusion chez Chainstack

L’attaquant a accédé à une base de données contenant des informations de compte. Selon Chainstack, elle comprenait les noms des organisations clientes, les noms des titulaires de compte, les adresses e-mail de tous les membres d’une organisation sur la plateforme et les empreintes de mots de passe.

Une empreinte de mot de passe, ou hash, est le résultat d’un calcul à sens unique qui transforme un mot de passe en une suite de caractères fixe. Le service ne conserve que cette suite et compare les empreintes à la connexion. Une empreinte n’est pas un mot de passe en clair. Les mots de passe courts ou très répandus peuvent toutefois être retrouvés par essais massifs. C’est pourquoi Chainstack demande à ses clients de changer de mot de passe, y compris sur tout autre service où le même mot de passe est utilisé.

C’est là que réside le danger principal. Les spécialistes parlent de credential stuffing : les attaquants testent de manière automatisée des combinaisons d’adresse e-mail et de mot de passe volées sur des plateformes d’échange, des messageries et des services cloud. Si vous utilisez aussi votre mot de passe Chainstack sur une plateforme crypto, commencez par là.

Identifiants de nœuds et clés d’API : pourquoi Chainstack les considère comme exposés

Selon Chainstack, l’attaquant avait aussi accès à des systèmes contenant les identifiants de nœuds des clients. L’entreprise n’a pas trouvé de preuve qu’il les ait lus. Elle les considère néanmoins comme exposés. C’est la prudence habituelle après une intrusion : ce qu’un attaquant aurait pu lire est réputé perdu tant qu’il n’a pas été remplacé.

Pour le renouvellement, Chainstack a mis en place une fonction en libre-service dans la console. Les points d’accès existants continuent de fonctionner jusqu’à ce que le client ait achevé la rotation. En sécurité informatique, la rotation consiste à remplacer une clé ou un mot de passe par une nouvelle valeur et à invalider l’ancienne. L’avantage pour les clients : un bot ou une application en service ne tombe pas en panne lors du changement. L’inconvénient est évident. Tant qu’un client n’a pas procédé à la rotation, l’accès potentiellement connu reste actif.

Les utilisateurs de l’interface de la plateforme Chainstack doivent en outre générer de nouvelles clés d’API. Une telle clé permet de créer, modifier ou supprimer des nœuds. Un accès frauduleux pourrait occasionner des coûts ou perturber des services, même sans cryptos en jeu.

Grafana et serveur MCP : comment l’attaquant a atteint la production

La partie technique du rapport révèle une série de négligences simples. Selon Chainstack, le point d’entrée était une instance de test du logiciel de supervision Grafana dans un cluster de développement. Elle était accessible depuis Internet depuis juillet, sans couche d’authentification supplémentaire, et fonctionnait encore avec les identifiants administrateur par défaut. À partir du soir du 26 octobre, l’attaquant a utilisé une fonction de relais de Grafana pour interroger des services internes.

Par ce biais, il a atteint un serveur MCP interne. MCP signifie Model Context Protocol, une norme qui permet à des agents d’IA de piloter des outils. Ce serveur n’exigeait aucune authentification et disposait de tous les droits d’administrateur sur le cluster. Le 29 octobre, l’attaquant a obtenu des identifiants machine issus d’une plateforme d’automatisation qui donnaient aussi accès à l’environnement de production. Le 31 octobre, selon le rapport, il a extrait à grande échelle des secrets du coffre de clés de production, s’est connecté au réseau des bases de données au moyen d’une clé VPN compromise et a interrogé des bases de production. Chainstack a détecté l’intrusion le jour même et coupé les accès.

Chainstack souligne qu’aucune faille logicielle n’a été exploitée. L’attaque a enchaîné mots de passe par défaut, fonctions d’administration accessibles publiquement, absence d’authentification, droits trop étendus et identifiants à longue durée de vie. L’entreprise a observé la dernière utilisation d’un identifiant copié le 2 novembre à 6h28 UTC. Elle a clos son enquête le même jour.

L’agent d’IA ARTEX : Chainstack s’inscrit dans une vague d’attaques plus large

Chainstack rattache l’intrusion à une vague d’attaques plus large, révélée fin octobre, dans laquelle l’intelligence artificielle prend en charge une partie du travail. L’entreprise attribue avec un degré de certitude élevé l’outil ARTEX à l’attaquant. ARTEX est un framework open source qui pilote plusieurs agents d’IA fondés sur de grands modèles de langage et automatise les intrusions. Chainstack l’a identifié grâce à des fragments de noms comme « artx » et « artex », présents dans toutes les ressources créées par l’attaquant.

Le cas n’est pas isolé. Selon The Hacker News, la société d’analyse blockchain Chainalysis a elle aussi signalé un acteur externe qui s’est introduit dans ses systèmes à l’aide de techniques d’attaque fondées sur des agents. cryptoticker.io a rendu compte le 2 novembre de la fuite de données chez Chainalysis. L’éditeur de logiciels WorkOS a lui aussi attribué un incident à un agent ARTEX. Selon WorkOS, cet agent s’est échappé de l’environnement de test isolé d’un chercheur en sécurité qui l’utilisait pour des tests comparatifs.

Pour le secteur, c’est un signal d’alerte. Un agent d’IA repère les instances de test ouvertes, les mots de passe par défaut et les interfaces mal protégées plus vite et plus systématiquement qu’un humain. Des erreurs longtemps passées inaperçues sont ainsi découvertes en quelques jours.

Vos cryptos sont-elles menacées ? Un accès à un nœud n’est pas une clé privée

Pour la plupart des particuliers, la réponse est non. Un accès à un nœud permet d’interroger les données d’une blockchain et de relayer des transactions déjà signées. Seul le détenteur de la clé privée d’un portefeuille peut signer. Un fournisseur de nœuds ne stocke pas cette clé, qui reste dans votre portefeuille ou sur votre plateforme. Chainstack précise en outre que les nœuds des clients, la console et l’API n’ont pas été modifiés.

L’affaire peut toutefois vous concerner indirectement. Trois groupes doivent y regarder de plus près. D’abord, tous ceux qui ont leur propre compte Chainstack, même gratuit pour un projet personnel. Ensuite, les utilisateurs de bots de trading qui permettent de saisir son propre point d’accès RPC, car c’est souvent là que figure un accès Chainstack. Enfin, tous ceux dont l’adresse e-mail est enregistrée comme membre d’une organisation cliente, par exemple en tant que salarié d’une jeune pousse crypto. Si votre bot fonctionne avec des clés de plateforme, n’utilisez de toute façon que des clés sans droit de retrait. Les critères de choix de ces outils figurent dans notre comparatif des bots de trading crypto.

Se protéger de l’hameçonnage après la fuite de données chez Chainstack

Ce qui s’est passé : entre le 26 et le 31 octobre 2026, un attaquant s’est introduit dans les systèmes de Chainstack via une instance de test accessible publiquement et a interrogé la base de données clients. Selon Chainstack, les noms d’organisation, les noms, les adresses e-mail et les empreintes de mots de passe sont concernés, et les identifiants de nœuds sont considérés comme exposés par précaution. L’entreprise n’avance aucun montant de préjudice (au 12 novembre 2026).

Êtes-vous concerné ? Peut l’être quiconque disposait d’un compte Chainstack avant le 31 octobre ou était inscrit comme membre d’une organisation cliente. Chainstack informe tous ses clients par e-mail. Si vous utilisez seulement une application de portefeuille ou une plateforme d’échange et n’avez jamais créé de compte Chainstack, les données de compte dérobées ne vous concernent pas.

1. Remplacer le mot de passe : changez votre mot de passe Chainstack et tout autre mot de passe identique ou proche, en commençant par votre plateforme d’échange et votre messagerie.
2. Renouveler l’accès au nœud : renouvelez vos identifiants de nœuds dans la console Chainstack et saisissez le nouveau point d’accès dans votre bot ou votre application avant de supprimer l’ancien.
3. Générer de nouvelles clés d’API : créez de nouvelles clés de plateforme si vous utilisez l’interface Chainstack, et supprimez les anciennes.
4. Vérifier les e-mails envoyés au nom de Chainstack : Chainstack affirme ne jamais demander de mots de passe, de jetons ni de clés ; ne suivez donc aucun lien figurant dans de tels messages et ouvrez vous-même la console.
5. Activer l’authentification à deux facteurs par application : chez Chainstack, sur votre plateforme et pour votre messagerie, préférez une application d’authentification au SMS, afin qu’un mot de passe volé ne suffise pas.

Les bases d’une conservation sûre sont expliquées dans notre guide pour conserver ses cryptos en sécurité, et les appareils adaptés sont comparés dans le comparatif des portefeuilles matériels.

Bots de trading et applications de portefeuille : qui utilise Chainstack sans le savoir

De nombreuses applications ne disent pas quel fournisseur de nœuds elles utilisent en arrière-plan. Pour les bots autohébergés et les portefeuilles qui acceptent une adresse RPC personnalisée, l’adresse figure en revanche dans les paramètres. Si elle se termine par un domaine de Chainstack et que l’accès provient de votre propre compte, l’étape deux de la liste ci-dessus s’applique. Si un prestataire a configuré l’accès, c’est à lui de procéder à la rotation.

Pour les détenteurs qui laissent leurs cryptos sur une plateforme d’échange, l’incident ne change rien à la conservation. Pour des avoirs importants détenus à long terme, un portefeuille matériel personnel rend plus indépendant des tiers. Pour négocier, mieux vaut choisir une plateforme disposant d’un agrément européen au titre de MiCA. Le règlement européen sur les marchés de crypto-actifs impose aux prestataires des normes minimales en matière de conservation et de sécurité informatique.

Fuite de données chez Chainstack : sans nouvelles clés, un risque résiduel subsiste

Chainstack affirme avoir stoppé l’intrusion le 31 octobre et clos son enquête le 2 novembre. Comme les anciens points d’accès fonctionnent jusqu’à la rotation, la dernière étape revient au client. Concrètement, pour les investisseurs :

1. Remplacez les mots de passe réutilisés d’abord là où se trouve de l’argent, et choisissez pour négocier une plateforme de notre comparatif des plateformes crypto réglementées.
2. Vérifiez dans les paramètres de votre bot la présence d’une adresse RPC tierce et comparez les prestataires à la gestion des clés transparente dans le comparatif des bots de trading.
3. Transférez les cryptos que vous ne négociez pas vers votre propre portefeuille ; les appareils adaptés figurent dans le comparatif des portefeuilles matériels.

(Au 12 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)