ميركادو بيتكوين تعلن احتواء الاختراق... وبيانات البلوكشين تشير إلى خلاف ذلك

نقلت كوين ديسك عن بيتكويري أن المهاجمين واصلوا تحويل أموال من 36,042 عنوان إيداع على إيثريوم على مدى نحو أربع ساعات، حتى بعد إعلان ميركادو بيتكوين احتواء الحادث الأمني. وتتبع الباحثون 48.6 مليون دولار من الأصول عبر 11 شبكة، وهو ما يتجاوز أحدث تقدير للبورصة البالغ 36.3 مليون دولار. وتعتزم ميركادو بيتكوين إعادة خاصية عرض الحساب في 9 نوفمبر، على أن يظل السحب والتداول معلقين مبدئياً. ووفق تحديث بيتكويري الخميس، تجاوزت الأصول المسروقة عبر 11 بلوكشين 48 مليون دولار، ما يتعارض مع تأكيد البورصة البرازيلية أنها أحبطت الهجوم سريعاً. وكانت البورصة أعلنت في 9:56 صباحاً بتوقيت البرازيل يوم 2 نوفمبر أنها احتوت الحادث بسرعة. وقالت بيتكويري إن 36,042 عنوان إيداع لعملاء إيثريوم أُفرغت بين 9:27 صباحاً و1:56 بعد الظهر بتوقيت البرازيل. وتضم هذه العناوين نحو 266 ألف دولار، أي جزء صغير من إجمالي الخسارة. وتمكن المهاجم من تحويل هذه الأموال حتى بعد صدور إعلان البورصة. ويعمل عنوان إيداع العميل كحساب استقبال شخصي للعملات المشفرة، ثم تجمع البورصة هذه العملات في محفظة مشتركة متصلة بالإنترنت تعرف بالمحفظة الساخنة لمعالجة المعاملات اليومية. ويتطلب التحويل من عنوان الإيداع مفتاحه الخاص، وهو البيانات السرية التي تصرح بالتحويل. وذكرت بيتكويري أن عمليات السحب هذه تم التصريح بها مباشرة من عناوين الإيداع، ما يشير إلى احتمال حصول المهاجم على المفاتيح الخاصة لهذه العناوين أو على صلاحيات على النظام تسمح له بتوقيع المعاملات نيابة عنها. وأوضح الباحثون: «يتطلب ذلك أن يكون لكل عنوان مفتاحه الخاص أو الوصول إلى نظام يوقع نيابة عن هذه العناوين». وحذروا من أن البورصات تولد عادة مفاتيح الإيداع من مفتاح رئيسي واحد، ما يعني أن المهاجم قد يتمكن من الوصول إلى عناوين عملاء آخرين. والمبلغ المسروق محل خلاف أيضاً. أشارت تقديرات أولية إلى خسائر تتجاوز 40 مليون دولار، بينما تورد أحدث صفحة للأسئلة الشائعة لدى ميركادو بيتكوين الأصول المتأثرة بنحو 36.3 مليون دولار. وتقدر بيتكويري إجمالي المسروق عبر 11 بلوكشين بنحو 48.6 مليون دولار. ولم يوضح تحديث ميركادو بيتكوين العلني سبب التباين بين تأكيدها «احتواء» المشكلة وعمليات التحويل اللاحقة. وأكدت الشركة للعملاء أنها ستغطي خسائر المستخدمين من أموالها الخاصة. وحذرت بيتكويري العملاء من إعادة استخدام عناوين الإيداع القديمة إلى أن تؤكد البورصة أنها آمنة. وتبدأ خطة التعافي لدى ميركادو بيتكوين في 9 نوفمبر، على أن تسمح في البداية بعرض الأرصدة فقط. أما الإيداع والسحب والتداول فلم تحدد لها البورصة موعداً لإعادة التشغيل.