A provedora de infraestrutura para blockchain Chainstack informou na terça-feira que foi alvo de um ataque cibernético que permitiu a uma parte não autorizada acessar algumas partes de sua infraestrutura.
O incidente é avaliado como parte de uma campanha de ataques em larga escala, com uso de inteligência artificial (IA), que veio à tona na semana passada.
"Um atacante externo obteve acesso não autorizado a parte da infraestrutura da Chainstack por meio de um componente de terceiros", disse a empresa, em comunicado. "Detectamos a invasão, cortamos os caminhos de acesso e estamos reforçando nossos sistemas."
De acordo com a linha do tempo dos fatos divulgada pela Chainstack, o atacante obteve acesso a um ambiente de desenvolvimento em 26 de outubro de 2026 e, em seguida, ampliou seus privilégios para invadir "algumas partes do nosso ambiente de produção".
A invasão foi detectada em 31 de outubro de 2026, e o acesso do atacante foi bloqueado no mesmo dia, segundo a empresa.
Durante a invasão, o agente de ameaça teria acessado um banco de dados com informações de contas de clientes, incluindo nomes de organizações, nomes dos titulares das contas, endereços de e-mail dos membros das organizações na Chainstack e hashes de senhas.
"O atacante também teve acesso a sistemas que armazenavam credenciais de nós", afirmou a Chainstack. "Não temos evidências de que essas credenciais tenham sido lidas, mas as tratamos como expostas e pedimos que os clientes as renovem."
Além de renovar as credenciais dos nós, os clientes são orientados a regenerar suas chaves de interface de programação de aplicações (API) da plataforma, atualizar senhas, inclusive em outros serviços em que a mesma senha tenha sido reutilizada, e ficar atentos a possíveis tentativas de phishing.
Embora a Chainstack não tenha divulgado detalhes específicos sobre o ataque, avalia-se que ele apresente semelhanças com uma campanha conduzida por um grupo ligado à China, que tem como alvo empresas de alto valor usando o ARTEX.
WorkOS também é alvo do ARTEX
A plataforma de API WorkOS também divulgou um incidente de segurança que envolveu o mesmo framework de agentes autônomos de inteligência artificial para conduzir operações ofensivas de segurança. O incidente, descoberto em 30 de outubro de 2026, ficou restrito aos seus sistemas de go-to-market (GTM) e não afetou sistemas de produção nem dados de clientes da plataforma.
Os dados acessados incluem:
- Informações de contato comercial (nomes, e-mails, telefones, cargos e vínculos com empresas armazenados no sistema de gestão de relacionamento com clientes (CRM))
- Informações de contas e relacionamento comercial (histórico de contas de clientes e informações sobre vendas e relacionamento com clientes)
- Comunicações com clientes (resumos e trechos de chamadas de vendas, conversas de suporte e conversas de clientes no Slack)
- Metadados operacionais (informações sobre o uso dos produtos WorkOS pelos clientes, incluindo padrões de uso e o estado de conexões e diretórios)
A violação faz parte de uma tendência crescente em que agentes de IA são empregados para desenvolver estratégias de ataque personalizadas e automatizar diferentes fases da invasão.
"Isso aumenta a velocidade e a escala dos ataques que exploram fragilidades como aplicações expostas e credenciais roubadas", afirmou a WorkOS. "Cresce a necessidade de remediação rápida e de monitoramento capaz de conectar atividades suspeitas entre sistemas."
Na semana passada, a empresa de análise de blockchain Chainalysis também revelou ter detectado um "agente externo que usa técnicas ofensivas agênticas" para obter acesso a seus sistemas e ferramentas internas. Em 2 de novembro de 2026, a empresa tirou preventivamente do ar seus produtos Reactor e Data Solutions.
"Estamos monitorando de perto esses sistemas em busca de atividades incomuns e vamos manter vocês informados sobre novidades, para que possam tomar decisões embasadas para seus negócios e operações", disse a Chainalysis, em comunicado.
Outra organização atingida pelo ARTEX é o Instituto Holandês de Divulgação de Vulnerabilidades (DIVD). A invasão, ocorrida em 21 de setembro de 2026, envolveu a exploração de duas falhas de dia zero (zero-day) no sistema de tickets de código aberto Zammad, identificadas como CVE-2026-102489 e CVE-2026-102490 (CVE é a sigla de Common Vulnerabilities and Exposures, ou vulnerabilidades e exposições comuns). Com isso, os atacantes conseguiram elevar privilégios, executar código remotamente e exfiltrar dados.
