Faille de sécurité chez Mercado Bitcoin : 2 800 ETH et 2,24 M d’USDC déplacés
Un portefeuille que Mercado Bitcoin a identifié comme lié à sa faille de sécurité a envoyé, le 2 novembre, 2 800 ETH et 2,24 millions d’USDC vers des adresses distinctes, selon les registres blockchain. Ces mouvements sont intervenus après l’incident nocturne de la plateforme brésilienne et montrent que le gel de certains jetons ne suffit pas à immobiliser un portefeuille entier. La même destination Ethereum a aussi envoyé des PAXG, adossés à l’or, vers une autre adresse, que Paxos a ensuite gelée. L’adresse Bitcoin divulguée par la plateforme détenait encore environ 106,07 BTC, sans aucune dépense constatée au moment du contrôle.
L’accès des clients restait limité. À 13 h 57, heure de l’Est, Mercado Bitcoin a indiqué que toutes les transactions sur la plateforme étaient temporairement suspendues. La plateforme avait auparavant assuré qu’aucun client n’avait subi de pertes et qu’aucune donnée n’avait fuité.
Où sont allés les fonds
Mercado Bitcoin a publié les adresses de destination des mouvements liés à l’incident sur les réseaux compatibles Ethereum, Bitcoin, Solana, Stellar et Tron. Certaines transactions sortantes depuis ces adresses montrent des transferts vers d’autres adresses. Sur Ethereum, un transfert réussi de 2 800 ETH a été effectué à 7 h 07 min 35 s HE. L’expéditeur a ensuite envoyé 130 ETH supplémentaires au même destinataire à 10 h 39 min 47 s HE. Etherscan n’affichait aucune transaction sortante depuis ce destinataire au moment du contrôle. Une autre transaction a transféré exactement 2 236 100 USDC vers une adresse différente à 8 h 12 min 11 s HE. L’historique de transferts de jetons affiché pour ce destinataire ne contenait que l’USDC entrant. À 9 h 57 min 47 s HE, le portefeuille Ethereum divulgué par la plateforme a envoyé environ 373 milliards de PEPE vers une autre adresse.
Sur Tron, les registres de Tronscan montrent que la destination divulguée a envoyé 100 TRX à 8 h 28 min 33 s HE, puis 1 708 600 TRX à 8 h 30 min 24 s HE, les deux fois vers le même destinataire. À l’inverse, les registres de la destination Bitcoin faisaient état de sept réceptions totalisant environ 106,07 BTC et d’aucune sortie dépensée, y compris aucune dépense en attente.
Transferts et gels se chevauchent
Le transfert d’actifs vers d’autres adresses ne les soustrait pas nécessairement au contrôle des émetteurs. Le portefeuille Ethereum a envoyé 299 PAXG à 8 h 41 min 11 s HE vers un portefeuille que Paxos a gelé à 9 h 28 min 47 s HE. Ce destinataire affichait encore un solde de 369 PAXG au moment du contrôle. Une première estimation de gel rapportée par The Defiant portait le total à environ 6,8 millions de dollars, PAXG et stablecoins compris. Il s’agissait d’une estimation intrajournalière, et non d’un montant de récupération actuel. Le PDG de Tether, Paolo Ardoino, a indiqué séparément que Tether avait gelé plus de 4,5 millions d’USDT liés à l’incident. Arkham avait attribué environ 46 millions de dollars en crypto à l’attaquant plus tôt dans la journée. Son outil de suivi personnalisé regroupait 36 adresses. Cette valorisation de portefeuille ne correspond pas à une perte divulguée par la plateforme, et les transferts entre adresses attribuées ne doivent pas y être ajoutés comme de nouvelles pertes.
Dans sa déclaration officielle, Mercado Bitcoin a précisé que ses équipes enquêtaient, traçaient les actifs et coordonnaient les mesures avec les autorités compétentes.
