Mercado Bitcoin affirme avoir contenu le piratage, les données onchain suggèrent le contraire
Selon CoinDesk, la société d’analyse Bitquery indique que les attaquants ont continué à transférer des fonds depuis 36 042 adresses de dépôt Ethereum pendant près de quatre heures, alors même que Mercado Bitcoin annonçait avoir contenu l’incident de sécurité. Les chercheurs ont retracé 48,6 millions de dollars d’actifs sur 11 réseaux, au-delà de la dernière estimation de la plateforme, qui évoque 36,3 millions. Mercado Bitcoin prévoit de rétablir la consultation des comptes le 9 novembre ; les retraits et les échanges resteront suspendus dans un premier temps.
De nouveaux travaux d’analyse onchain montrent que, après que la plateforme brésilienne a affirmé avoir neutralisé une faille de sécurité, les attaquants ont continué à vider les adresses de dépôt liées à l’exchange pendant près de quatre heures. Dans une mise à jour publiée jeudi, Bitquery chiffre les actifs dérobés sur 11 blockchains à plus de 48 millions de dollars, contestant la version d’un incident rapidement maîtrisé.
Mercado Bitcoin a annoncé le 2 novembre, à 9h56 heure de Brasilia, avoir contenu l’incident sans délai. Bitquery relève que 36 042 adresses de dépôt clients sur Ethereum ont été vidées entre 9h27 et 13h56. Ces adresses abritent environ 266 000 dollars, une fraction seulement des pertes totales, dont les fonds ont continué d’être transférés après la publication du communiqué de l’exchange.
Une adresse de dépôt client fonctionne comme un compte de réception personnel. L’exchange regroupe ensuite ces cryptomonnaies dans un portefeuille en ligne partagé, dit « hot wallet », pour traiter les transactions courantes. Vider une adresse de dépôt suppose de détenir sa clé privée, l’identifiant secret qui autorise le transfert.
Bitquery précise que ces retraits ont été autorisés directement depuis les adresses de dépôt, ce qui suggère que l’attaquant a pu accéder à leurs clés privées ou obtenir des droits système lui permettant de signer des transactions pour leur compte. « Cela suppose que chaque adresse dispose de sa propre clé, ou d’un accès à un système qui signe pour ces adresses », expliquent les chercheurs. Ils avertissent que les exchanges génèrent généralement les clés de dépôt à partir d’une clé maître unique, ce qui laisse à l’attaquant un accès potentiel aux autres adresses clients.
Le montant du préjudice est lui aussi contesté. Les premières estimations faisaient état de plus de 40 millions de dollars de pertes ; la page FAQ actualisée de Mercado Bitcoin chiffre les actifs concernés à environ 36,3 millions. Bitquery retient 48,6 millions de dollars au total sur 11 blockchains.
La communication publique de Mercado Bitcoin n’explique pas l’écart entre l’incident « contenu » et les transferts observés ensuite. La société assure qu’elle couvrira les pertes des clients sur ses fonds propres. Bitquery recommande de ne pas réutiliser les anciennes adresses de dépôt tant que la plateforme n’a pas confirmé leur sécurité. Le plan de reprise démarre le 9 novembre, avec la seule consultation des soldes ; aucune date n’est fixée pour la reprise des dépôts, des retraits et des échanges.
