Mercado Bitcoin заявляет, что взлом удалось сдержать, но данные блокчейна указывают на обратное
По сообщению CoinDesk, Bitquery утверждает: после того как Mercado Bitcoin объявила о локализации инцидента, злоумышленники ещё почти четыре часа выводили средства с 36 042 адресов пополнения в Ethereum. Исследователи отследили активы на 48,6 млн долларов в 11 сетях — больше последней оценки биржи в 36,3 млн. Mercado Bitcoin планирует 9 ноября восстановить просмотр счетов, но вывод средств и торги на первом этапе останутся приостановлены.
Новые данные ончейн-аналитики показывают, что после заявления бразильской биржи о локализации уязвимости атака продолжалась. Обновление Bitquery от четверга: украденные активы в 11 блокчейнах превысили 48 млн долларов, что ставит под сомнение утверждение биржи о быстром отражении атаки. Биржа сообщила 2 ноября в 9:56 по бразильскому времени, что оперативно сдержала инцидент. По данным Bitquery, с 9:27 до 13:56 по бразильскому времени были опустошены 36 042 адреса пополнения клиентов в Ethereum. На этих адресах находилось около 266 тыс. долларов — лишь небольшая часть общего ущерба. Даже после публикации заявления биржи злоумышленник мог переводить эти средства.
Адрес пополнения клиента работает как личный счёт для получения криптовалюты. Затем биржа агрегирует монеты в общий онлайн-кошелёк, или хот-кошелёк, для проведения ежедневных операций. Для перевода средств с адреса пополнения нужен приватный ключ — секретный параметр, который подтверждает перевод. Bitquery заявила, что списания были авторизованы непосредственно с адресов пополнения. Это указывает на то, что злоумышленник мог получить доступ к приватным ключам этих адресов или к системным правам, позволяющим подписывать транзакции от их имени. Исследователи пояснили: «Для этого нужен отдельный ключ для каждого адреса либо доступ к системе, которая подписывает операции за эти адреса». Они предупредили, что биржи обычно генерируют ключи пополнения из одного мастер-ключа, поэтому злоумышленник мог сохранить доступ к другим клиентским адресам.
Сумма потерь также вызывает споры. Первоначальные оценки превышали 40 млн долларов; на последней странице FAQ Mercado Bitcoin указаны затронутые активы примерно на 36,3 млн. Bitquery оценивает общий объём украденного в 11 блокчейнах в 48,6 млн долларов. Публичное обновление Mercado Bitcoin не объяснило расхождение между утверждением о локализации проблемы и последующими переводами. Компания заверила клиентов, что покроет их убытки за счёт собственных средств. Bitquery предупреждает клиентов не использовать повторно старые адреса пополнения, пока биржа не подтвердит их безопасность. План восстановления Mercado Bitcoin начинается 9 ноября: сначала будет доступен только просмотр балансов; даты возобновления депозитов, выводов и торгов не назначены.
