A Chainstack, empresa que fornece infraestrutura para aplicações blockchain, informou na terça-feira (3) que sofreu um ataque cibernético. Um invasor externo conseguiu acesso não autorizado a parte da infraestrutura da empresa por meio de um componente de terceiros. Segundo a própria empresa, a intrusão foi detectada em 31 de outubro e o acesso foi cortado no mesmo dia.

O invasor entrou primeiro em um ambiente de desenvolvimento, em 26 de outubro, e depois avançou até partes do ambiente de produção. Nesse caminho, ele acessou um banco de dados com nomes de organizações, nomes de titulares de conta, e-mails dos membros das organizações na plataforma e password hashes, que são versões embaralhadas das senhas. A Chainstack também disse que os atacantes tiveram acesso a sistemas com credenciais de nós, mas não há evidências de que elas tenham sido lidas. Por precaução, a empresa trata essas credenciais como expostas.

A Chainstack afirma que o caso se encaixa em uma campanha maior, com uso de IA, que veio à tona na semana passada e que está ligada a um grupo associado à China chamado ARTEX. A empresa recomenda que clientes troquem as credenciais dos nós, gerem novamente suas chaves de API, atualizem senhas (inclusive em outros serviços onde a mesma senha foi usada) e fiquem atentos a tentativas de phishing, golpes que tentam enganar a pessoa com mensagens falsas.

O caso não é isolado. A WorkOS, plataforma de APIs, também informou um incidente com a mesma estrutura de agentes de IA autônomos usados em ataques. Ele foi descoberto em 30 de outubro e atingiu apenas seus sistemas comerciais, sem afetar produção nem dados de clientes da plataforma, mas expôs contatos comerciais, histórico de contas, comunicações com clientes e metadados de uso. Já a Chainalysis, empresa de análise de criptomoedas, disse ter detectado um agente externo usando técnicas ofensivas com IA e, desde 2 de novembro, tirou do ar os produtos Reactor e Data Solutions como precaução.

Para a Chainalysis e a WorkOS, o recado é parecido: agentes de IA estão sendo usados para montar ataques sob medida e automatizar várias etapas de uma invasão, o que aumenta a velocidade e a escala dos ataques que exploram aplicações expostas e credenciais roubadas. Por isso, a resposta precisa ser rápida e o monitoramento precisa cruzar sinais de atividade suspeita entre os sistemas.

Por fim, o Instituto Holandês de Divulgação de Vulnerabilidades (DIVD) também foi atingido pelo mesmo grupo. A invasão, de 21 de setembro, explorou duas falhas zero-day no sistema de tickets de código aberto Zammad, identificadas como CVE-2026-102489 e CVE-2026-102490, que permitiram elevar privilégios, executar código remotamente e roubar dados. Quem usa serviços dessas empresas deve seguir as orientações oficiais de cada uma e manter os sistemas atualizados.