Para: desarrolladores, operadores de dApps y administradores de organización que usan los nodos o la API de Chainstack. Este artículo se basa en el aviso oficial de la empresa y no aborda métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
desarrolladores, operadores de dApps y administradores de organización que usan los nodos o la API de Chainstack.
- Confirmado hasta ahoraVer la tabla ↓
- Período del acceso no autorizado
- Alcance en producción
- Base de datos de cuentas de clientes
1 más
- Investigación
Señalado como posiblemente afectado
- Nombres de organización, nombres de titulares de cuenta
- Direcciones de correo de los miembros de la organización
- Hashes de contraseñas
1 más
- Credenciales de nodo
- Aún sin confirmar
- Cuántos clientes están afectados
- Qué algoritmo usan los hashes de contraseñas
- Cuál es el componente de terceros y cómo se desarrolló la intrusión
2 más
- Si las credenciales de nodo se leyeron realmente
- Si se produce algún uso indebido (daño secundario)
- Qué hacer ahoraVer los pasos ↓
- Cambie su contraseña
- Rote las credenciales de nodo
- Regenere las claves de API de la plataforma
3 más
- Encuentre y sustituya los endpoints y claves incrustados
- Compruebe si hay uso o facturación inesperados
- Verifique a quien diga ser de Chainstack sin abrir sus enlaces
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Chainstack, «Incident report: what happened and what customers need to do» (en inglés, fechado el 3 de noviembre de 2026; consultado el 4 de noviembre)
- Última comprobación
- A fecha del 4 de noviembre de 2026
Próximos avisos y qué comprobamos
El aviso de la empresa está fechado el 3 de noviembre y dice que se actualizará si hay información nueva. El 4 de noviembre consultamos el texto del aviso y no encontramos cambios desde la versión del 3 de noviembre. La empresa dice que cerró su investigación el 2 de noviembre.
Qué deben hacer hoy los usuarios de Chainstack
Cambie su contraseña
La empresa pide a los clientes que cambien su contraseña, también en cualquier otro servicio donde hayan reutilizado la misma.
- Adición de este sitio: use un gestor de contraseñas para que cada servicio tenga la suya (Cómo elegir un gestor de contraseñas)
- Adición de este sitio: active la autenticación de dos factores si está disponible para usted. El aviso no la menciona
Rote las credenciales de nodo
La empresa pide a los clientes que roten las credenciales de nodo. Dice que es de autoservicio en la consola y que los endpoints actuales siguen funcionando hasta que se complete la rotación, así que no hay tiempo de inactividad. La documentación de la empresa explica los pasos.
- Adición de este sitio: ponga primero las credenciales nuevas en sus apps, compruebe que funcionan y después invalide las antiguas
Regenere las claves de API de la plataforma
Si usa la API de la plataforma, la empresa le pide regenerar sus claves de API. Actualice también el CI/CD, los scripts de automatización y las herramientas de operaciones que las usan. Elimine las claves que ya no use en lugar de recrearlas (adición de este sitio, Conceptos básicos de variables de entorno y claves de API).
Encuentre y sustituya los endpoints y claves incrustados
Los endpoints de nodo suelen tener forma de URL que lleva credenciales, y pueden estar en el código de la app, en archivos de configuración, en variables de CI y en front-ends. Opinión de este sitio: una URL incrustada en un front-end es visible para todos los visitantes, así que, hasta que recompile y vuelva a desplegar tras rotar, las credenciales antiguas siguen en la salida pública.
- Busque URL antiguas en la configuración, las variables secretas de CI, las variables de entorno de los contenedores y el historial del repositorio
- Recompile y vuelva a desplegar los front-ends publicados (salida de compilación y source maps)
- Donde pueda canalizar las peticiones a través de su propio servidor, evite entregar credenciales al navegador
Compruebe si hay uso o facturación inesperados
La empresa dice que los nodos, la consola y la API no se modificaron y que el servicio continuó. Por si se usaron las credenciales, este sitio sugiere comprobar:
- Si el número de peticiones, los llamantes y los métodos usados en sus nodos parecen inusuales
- Si su factura subió de repente
- Si su organización tiene miembros o permisos que no reconoce
Verifique a quien diga ser de Chainstack sin abrir sus enlaces
La empresa pide a los clientes que estén atentos al phishing y dice que nunca pedirá contraseñas, tokens ni claves. No use los enlaces del correo; abra usted mismo la consola oficial o la página del aviso. ¿Qué es el phishing?
① Rote las credenciales en la consola
Los endpoints actuales siguen funcionando hasta que termine (empresa)
↓
② Cambie apps, CI y front-ends a las nuevas y compruebe que funcionan
↓
③ Confirme que las credenciales antiguas ya no se usan
Ninguna URL antigua queda en los front-ends publicados
Qué ocurrió (según el aviso de Chainstack)
Lo siguiente se basa en el informe del incidente que publicó la empresa, fechado el 3 de noviembre de 2026.
26 de octubre de 2026
Un atacante externo accedió a un entorno de desarrollo (explicación de la empresa)29 de octubre
El atacante accedió a parte del entorno de producción (explicación de la empresa)31 de octubre
La empresa detectó la intrusión y cortó las vías de acceso ese mismo día (explicación de la empresa)2 de noviembre
La empresa cerró su investigación y dio por concluido el incidente (explicación de la empresa)3 de noviembre
Aviso publicado. La empresa dice que está enviando un correo a todos los clientes4 de noviembre
Este sitio consultó el texto del aviso. No se encontraron cambios desde la versión del 3 de noviembre
- Punto de entrada
- Un atacante externo accedió a parte de la infraestructura a través de un componente de terceros. El aviso no dice cuál es el componente
- Contexto
- La empresa evalúa el incidente como parte de una campaña de ataques más amplia potenciada por IA que se informó a finales de octubre. También escribe que esto no cambia su responsabilidad por lo ocurrido en su propio entorno
- Información que puede haberse expuesto
- Nombres de organización, nombres de los titulares de cuenta, direcciones de correo de los miembros de la organización y hashes de contraseñas (base de datos de cuentas de clientes). No se indica el algoritmo del hash
- Credenciales de nodo
- Se accedió a los sistemas que las contienen. Sin pruebas de que se leyeran, pero tratadas como expuestas
- No incluido
- Datos de medios de pago (la empresa no los almacena). Sin modificación de los nodos, la consola ni la API; el servicio continuó
- Respuesta de la empresa
- Cortó las vías de acceso, refuerza sus sistemas y envía correos a todos los clientes. Pide a los usuarios que cambien contraseñas, roten las credenciales de nodo, regeneren las claves de API de la plataforma y estén atentos al phishing
Qué se sabe y qué no se sabe aún
Situación a 4 de noviembre de 2026. Esta tabla se reescribirá cuando aparezcan seguimientos.
| Elemento | Qué dice el aviso | Estado |
|---|---|---|
| Período del acceso no autorizado | Del 26 de octubre de 2026 (desarrollo) al 31 de octubre (detectado y cortado) | Confirmado (empresa) |
| Alcance en producción | Se accedió a parte de producción el 29 de octubre | Confirmado (empresa) |
| Base de datos de cuentas de clientes | El atacante accedió a ella | Confirmado (empresa) |
| Nombres de organización, nombres de titulares de cuenta | Pueden haberse expuesto | Posible (empresa) |
| Direcciones de correo de los miembros de la organización | Pueden haberse expuesto | Posible (empresa) |
| Hashes de contraseñas | Pueden haberse expuesto. Algoritmo no indicado | Posible (empresa) |
| Credenciales de nodo | Se accedió a los sistemas que las contienen. Sin pruebas de que se leyeran, pero tratadas como expuestas | Posible (empresa) |
| Datos de medios de pago | La empresa no los almacena, así que no se expusieron | No incluidos (empresa) |
| Cambios en los nodos, la consola o la API | Ninguno; el servicio continuó | No incluidos (empresa) |
| Número de clientes afectados | No se indica. La empresa dice que envía un correo a todos los clientes | No se indica |
| Punto de entrada | Un componente de terceros. No se dice cuál es | En investigación |
| Uso indebido (daño secundario) | No se indica | No se indica |
| Investigación | Cerrada el 2 de noviembre y el incidente concluido. Se actualizará si surge información nueva | Confirmado (empresa) |
Por qué dice Posible
La empresa escribe que la información de cuentas de clientes «puede haberse expuesto», y que trata las credenciales de nodo como expuestas aunque no tiene pruebas de que se leyeran. Este sitio mantiene el estado en los términos de la propia empresa. El aviso no muestra qué se extrajo realmente.
A qué pueden llevar los datos de cuenta y las credenciales de nodo
Lo siguiente es lo que, en general, puede ocurrir con esta combinación de elementos, no algo que la empresa haya dicho que ocurriera aquí.
- Nombres de organización + nombres de titulares de cuenta + correos de miembros: material para mensajes convincentes que se hacen pasar por la empresa o por un socio
- Hashes de contraseñas: un hash no es la contraseña en sí, pero las contraseñas débiles o reutilizadas pueden adivinarse más tarde. No se indica el algoritmo, así que no se puede juzgar la solidez. Lo primero es cambiar la contraseña (¿Qué es el hash de contraseñas?)
- Credenciales de nodo: las credenciales usadas para llegar a un endpoint; quien las tenga puede enviar peticiones como el cliente, lo que puede afectar al uso y a la facturación. Si están incrustadas en un front-end, eran visibles para los visitantes de todos modos
- Contraseñas reutilizadas: si la misma contraseña se usa en otro servicio, cámbiela también allí. Cómo comprobar si una contraseña se ha filtrado
Qué deben revisar los desarrolladores y operadores
Como vía de entrada solo se ha publicado «un componente de terceros». De los hechos publicados (se accedió a sistemas que contienen credenciales; la rotación es posible sin tiempo de inactividad) solo se derivan puntos de revisión generales.
- Construya para que rotar sea fácil: no escriba credenciales en el código; páselas desde variables de entorno o un gestor de secretos. Un único lugar para cambiar significa que puede actuar el día que llegue un aviso como este
- Entregue menos credenciales al navegador: una URL incrustada en un front-end permanece en la salida pública. Canalice a través de su propio servidor, o use controles que restrinjan dónde puede usarse una credencial si el proveedor los ofrece (consulte la documentación del proveedor)
- Separe las claves por finalidad: credenciales distintas por entorno (desarrollo, producción) y por app mantienen pequeño el impacto de la rotación (Conceptos básicos de variables de entorno y claves de API)
- Proteja la consola del proveedor: haga obligatoria la autenticación de dos factores donde esté disponible y active las alertas de inicio de sesión y de creación de claves (Cómo elegir la autenticación multifactor)
Son puntos de revisión generales y no significan que la empresa o sus usuarios dejaran de hacerlos.
Fuentes (registros públicos)
Los hechos de este artículo se basan en la siguiente información pública. No especulamos sobre el punto de entrada ni sobre el rango de datos extraídos, que no se han publicado.
- Chainstack, «Incident report: what happened and what customers need to do» (en inglés, fechado el 3 de noviembre de 2026; consultado el 4 de noviembre) — chainstack.com
Historial de actualizaciones
2026-11-04: Primera versión. Basada en el informe del incidente de la empresa fechado el 3 de noviembre de 2026 (consultado el 4 de noviembre; no se encontró ninguna actualización más reciente).
Lectura recomendada
- Un caso más reciente de servicio para desarrolladores: acceso no autorizado a un sistema interno de DigiCert
- Un caso más reciente de plataforma para desarrolladores: acceso no autorizado a una app interna de ventas de WorkOS
- Gestión de claves de API y secretos: Conceptos básicos de variables de entorno y claves de API / Credenciales filtradas que siguen siendo válidas
- Incidentes relacionados: Acceso no autorizado a PingCAP (TiDB Cloud), Exposición de secretos de Railway, Incidente de Northflank y claves de API
- Prepararse ante mensajes fraudulentos: ¿Qué es el phishing?
- Proteja sus cuentas: Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y el extranjero)