Mercado Bitcoin afirma haber contenido el hackeo, pero los datos on-chain apuntan a lo contrario

CoinDesk informa de que Bitquery asegura que, incluso después de que Mercado Bitcoin anunciara que había controlado el incidente de seguridad, los atacantes siguieron moviendo fondos desde 36.042 direcciones de depósito en Ethereum durante casi cuatro horas. Los investigadores rastrearon 48,6 millones de dólares en activos repartidos por 11 redes, por encima de la última estimación del exchange, de 36,3 millones. La nueva investigación on-chain muestra que, tras la declaración del exchange brasileño de que había contenido una vulnerabilidad, los atacantes continuaron transfiriendo fondos desde direcciones de depósito vinculadas a la plataforma durante casi cuatro horas. La actualización de Bitquery del jueves situó lo robado en 11 blockchains por encima de 48 millones de dólares, lo que cuestiona la versión de la empresa de que había frenado el ataque con rapidez. Mercado Bitcoin anunció a las 9:56, hora de Brasil, del 2 de noviembre que había contenido el incidente rápidamente. Según Bitquery, un total de 36.042 direcciones de depósito de clientes en Ethereum quedaron vaciadas entre las 9:27 y las 13:56, hora de Brasil. Esas direcciones albergaban unos 266.000 dólares, solo una pequeña parte de la pérdida total. Aun después del anuncio del exchange, el atacante podía seguir transfiriendo esos fondos. Una dirección de depósito de cliente funciona de forma similar a una cuenta personal de recepción de criptomonedas. Después, el exchange agrupa esas monedas en una cartera online compartida, conocida como hot wallet, para gestionar las operaciones diarias. Mover fondos desde una dirección de depósito requiere su clave privada, la credencial secreta que autoriza la transferencia. Bitquery señaló que estas retiradas se autorizaron directamente desde las direcciones de depósito, lo que indica que el atacante pudo acceder a las claves privadas de esas direcciones o a permisos de sistema que le permitieran firmar transacciones en su nombre. Los investigadores explicaron: “Esto exige que cada dirección tenga su propia clave o acceso a un sistema que firme por estas direcciones”. Advirtieron de que los exchanges suelen generar las claves de depósito a partir de una única clave maestra, lo que implica que los atacantes podrían seguir accediendo a otras direcciones de clientes. La cifra robada también está en disputa. Las primeras estimaciones apuntaban a pérdidas superiores a 40 millones de dólares, mientras que la página de preguntas frecuentes más reciente de Mercado Bitcoin sitúa los activos afectados en unos 36,3 millones. Bitquery calcula en 48,6 millones el total sustraído en 11 blockchains. La actualización pública de Mercado Bitcoin no explicó la discrepancia entre su afirmación de haber “contenido” el problema y las transferencias posteriores. La compañía aseguró a los clientes que cubrirá las pérdidas con fondos propios. Bitquery advierte a los clientes de que no reutilicen direcciones de depósito antiguas hasta que el exchange confirme que son seguras. El plan de recuperación de Mercado Bitcoin comienza el 9 de noviembre, inicialmente solo permitirá consultar saldos; depósitos, retiradas y trading no tienen fecha programada de reactivación.