Blockchain-infrastructuuraanbieder Chainstack maakte dinsdag bekend dat het het doelwit was van een cyberaanval waardoor een onbevoegde partij toegang kon krijgen tot delen van zijn infrastructuur.
Het incident wordt beoordeeld als onderdeel van een grootschalige, door kunstmatige intelligentie (AI) ondersteunde aanvalscampagne die vorige week aan het licht kwam.
“Een externe aanvaller heeft via een component van een derde partij onbevoegde toegang gekregen tot een deel van Chainstacks infrastructuur,” zei het bedrijf. “We hebben de inbraak gedetecteerd, de toegangspaden afgesloten en zijn onze systemen aan het verstevigen.”
Volgens de tijdlijn van gebeurtenissen die Chainstack deelde, verkreeg de aanvaller op 26 oktober 2026 toegang tot een ontwikkelomgeving en escaleerde daarna zijn toegangsrechten om door te dringen in “sommige delen van onze productieomgeving”.
De inbraak werd vervolgens gedetecteerd op 31 oktober 2026, en de toegang van de aanvaller werd diezelfde dag afgesloten, aldus het bedrijf.
Als onderdeel van de digitale inbraak zou de bedreigingsactor toegang hebben gekregen tot een database met klantaccountgegevens, waaronder organisatienamen, namen van accounthouders, de e-mailadressen van leden van organisaties op Chainstack en hashes van wachtwoorden.
“De aanvaller had ook toegang tot systemen met node-credentials,” zei Chainstack. “We hebben geen bewijs dat deze zijn uitgelezen, maar we behandelen ze als geëxposeerd en vragen klanten ze te roteren.”
Naast het roteren van de node-credentials wordt klanten geadviseerd hun platform-API-sleutels te regenereren, wachtwoorden bij te werken — inclusief op andere diensten waar hetzelfde wachtwoord is hergebruikt — en alert te blijven op mogelijke phishingpogingen.
Hoewel Chainstack geen details over de aanval openbaar maakte, wordt het beoordeeld als overlapping met een campagne uitgevoerd door een aan China gelinkt cluster dat hooggewaardeerde bedrijven target met behulp van ARTEX.
WorkOS ook doelwit van ARTEX
Deze ontwikkeling komt terwijl API-platform WorkOS ook een beveiligingsincident meldde waarbij hetzelfde autonome AI-agent-framework werd ingezet voor offensieve beveiligingsoperaties. Het incident, ontdekt op 30 oktober 2026, was beperkt tot de GTM-systemen en had geen invloed op productiesystemen of klantplatformgegevens.
De geraadpleegde gegevens omvatten:
- Zakelijke contactgegevens (namen, e-mailadressen, telefoonnummers, functietitels en bedrijfsaffiliaties opgeslagen in het klantrelatiebeheersysteem)
- Zakelijke account- en relatie-informatie (klantaccounthistorie en informatie over verkoop- en klantrelaties)
- Klantencommunicatie (samenvattingen en fragmenten van verkoopgesprekken, ondersteuningsgesprekken en klantconversaties in Slack)
- Operationele metadata (informatie over het gebruik van WorkOS-producten door klanten, inclusief productgebruik en de gezondheid van connecties of directories)
De datalek maakt deel uit van een groeiende trend waarbij AI-agents worden ingezet om op maat gemaakte aanvalstrategieën uit te werken en verschillende fasen van de inbraak te automatiseren.
“Dit verhoogt de snelheid en schaal van aanvallen die zwaktes exploiteren, zoals blootgestelde applicaties en gestolen inloggegevens,” zei WorkOS. “Het vergroot de noodzaak voor tijdige herstelmaatregelen en monitoring die verdachte activiteit over systemen heen kan verbinden.”
Vorige week onthulde blockchain-analysebedrijf Chainalysis ook dat het een “externe actor die offensieve agentieke technieken gebruikt” had gedetecteerd om toegang te krijgen tot zijn systemen en interne tools. Per 2 november 2026 heeft het bedrijf proactief zijn Reactor- en Data Solutions-producten offline gehaald.
“We monitoren deze systemen nauwgezet op ongebruikelijke activiteit en zullen u op de hoogte houden van nieuwe informatie, zodat u weloverwogen beslissingen kunt nemen voor uw bedrijf en operaties,” zei Chainalysis.
Een andere organisatie die door ARTEX werd getroffen is het Dutch Institute for Vulnerability Disclosure (DIVD). De inbraak van 21 september 2026 betrof het misbruiken van twee zero-day-kwetsbaarheden in het open-source ticketingsysteem Zammad (CVE-2026-102489 en CVE-2026-102490), waarmee aanvallers privileges konden escaleren, op afstand code konden uitvoeren en gegevens konden exfiltreren.
