Mercado Bitcoin diz ter contido ataque hacker, mas dados on-chain indicam o contrário
Relatório do CoinDesk: a Bitquery afirma que, mesmo após o Mercado Bitcoin anunciar que havia contido o incidente de segurança, atacantes continuaram a transferir fundos de 36.042 endereços de depósito em Ethereum por quase quatro horas. Os pesquisadores rastrearam US$ 48,6 milhões em ativos em 11 redes, acima da estimativa mais recente da exchange, de US$ 36,3 milhões. O Mercado Bitcoin planeja restaurar a visualização de contas em 9 de novembro, mas saques e negociação seguirão suspensos no início.
Nova pesquisa on-chain mostra que, mesmo depois de a exchange brasileira Mercado Bitcoin afirmar ter contido uma vulnerabilidade de segurança, atacantes continuaram a transferir recursos de endereços de depósito ligados à plataforma por quase quatro horas. A atualização da Bitquery divulgada na quinta-feira apontou mais de US$ 48 milhões em ativos roubados em 11 blockchains, contestando a alegação da exchange de que teria frustrado o ataque rapidamente.
O Mercado Bitcoin informou às 9h56 (horário de Brasília) de 2 de novembro que havia contido o incidente com rapidez. Segundo a Bitquery, 36.042 endereços de depósito de clientes em Ethereum foram esvaziados entre 9h27 e 13h56 (horário de Brasília). Esses endereços guardavam cerca de US$ 266 mil, uma fração pequena do prejuízo total. Ainda assim, mesmo após o anúncio da exchange, o atacante conseguiu transferir esses recursos.
Um endereço de depósito de cliente funciona como uma conta pessoal de recebimento de criptomoedas. Em seguida, a exchange agrega essas moedas em uma carteira online compartilhada, conhecida como hot wallet, para processar transações diárias. Para transferir fundos de um endereço de depósito, é necessária sua chave privada — a credencial secreta que autoriza a operação. A Bitquery afirmou que os saques foram autorizados diretamente a partir dos endereços de depósito, o que indica que o atacante pode ter obtido acesso às chaves privadas desses endereços ou a permissões de sistema que permitem assinar transações em nome deles.
Os pesquisadores explicaram: "Isso exige que cada endereço tenha sua própria chave ou acesso a um sistema que assine por esses endereços." Eles alertaram que exchanges normalmente geram chaves de depósito a partir de uma única chave mestra, o que significa que os atacantes ainda podem acessar outros endereços de clientes.
O valor roubado também é contestado. Estimativas iniciais indicavam perdas acima de US$ 40 milhões, enquanto a página de perguntas frequentes mais recente do Mercado Bitcoin lista os ativos afetados em cerca de US$ 36,3 milhões. A Bitquery estima o total roubado em 11 blockchains em US$ 48,6 milhões. A atualização pública do Mercado Bitcoin não explicou a discrepância entre sua alegação de ter "contido" o problema e as transferências posteriores. A empresa garantiu aos clientes que cobrirá as perdas dos usuários com recursos próprios.
A Bitquery alerta os clientes para não reutilizarem endereços de depósito antigos até que a exchange confirme que são seguros. O plano de recuperação do Mercado Bitcoin começa em 9 de novembro, inicialmente permitindo apenas a visualização de saldos; depósitos, saques e negociação não têm data programada para reinício.
