メルカド・ビットコイン、被害封じ込めを主張 オンチェーンデータは反証

CoinDeskが報じた。ブロックチェーン分析企業Bitqueryによると、メルカド・ビットコインがセキュリティインシデントを封じ込めたと発表した後も、攻撃者は約4時間にわたり36,042件のイーサリアム入金アドレスから資金を移動させ続けた。調査チームは11のネットワークにまたがる4,860万ドル相当の資産を追跡しており、取引所が示した最新推計3,630万ドルを上回る。メルカド・ビットコインは11月9日に残高照会機能を復旧する予定だが、出金と取引は当面停止したままとなる。 オンチェーン調査から、ブラジルの取引所メルカド・ビットコインが脆弱性を封じ込めたと主張した後も、攻撃者が同取引所に関連する入金アドレスから4時間近く資金を移し続けていたことが明らかになった。Bitqueryが木曜に公表した更新情報では、11のブロックチェーンで盗まれた資産は4,800万ドルを超え、攻撃を迅速に阻止したとする取引所の説明と食い違う。 取引所は11月2日午前9時56分（ブラジル時間）、インシデントを速やかに封じ込めたと発表した。Bitqueryによれば、同日午前9時27分から午後1時56分（ブラジル時間）の間に、イーサリアムの顧客入金アドレス計36,042件が残高を抜き取られた。これらのアドレスに保管されていたのは約26万6,000ドル分にとどまり、損失総額のごく一部にすぎない。取引所の発表後も、攻撃者はこれらの資金を移動させることが可能だった。 顧客の入金アドレスは、暗号資産の個人向け受け取り口座に相当する。取引所はこれらの通貨をホットウォレットと呼ばれる共有のオンラインウォレットに集約し、日々の取引を処理する。入金アドレスから資金を移すには秘密鍵が必要で、これは送金を承認する秘匿情報にあたる。 Bitqueryは、これらの引き出しが入金アドレスから直接承認されていたと指摘する。攻撃者が各アドレスの秘密鍵を入手したか、アドレスに代わって取引に署名できるシステム権限を取得した可能性を示す。研究者は「各アドレスに固有の鍵を持たせるか、それらに代わって署名するシステムへのアクセスが必要になる」と説明。取引所は通常、単一のマスターキーから入金用の鍵を生成するため、攻撃者が他の顧客アドレスにもアクセスできる恐れがあると警告した。 被害額も定まっていない。当初推計は4,000万ドル超だったが、メルカド・ビットコインが最新のFAQページに記載する影響額は約3,630万ドル。Bitqueryは11ブロックチェーン合計で4,860万ドルと推計する。 「封じ込め」表明後に送金が続いた点について、取引所の公表資料は説明していない。同社はユーザーの損失を自社資金で補填すると顧客に約束した。Bitqueryは、取引所が安全性を確認するまで旧入金アドレスを再利用しないよう顧客に警告している。 メルカド・ビットコインの復旧計画は11月9日に始まり、当初は残高照会のみが可能。入金、出金、取引の再開時期は示されていない。