Mercado Bitcoin заявляє, що стримала злам, але дані блокчейну свідчать про інше
За повідомленням CoinDesk, Bitquery стверджує: навіть після того, як Mercado Bitcoin оголосила про стримування інциденту, атакувальники продовжували переказувати кошти з 36 042 Ethereum-адрес для депозитів майже чотири години. Дослідники відстежили активи на 48,6 млн дол. у 11 мережах — більше за останню оцінку біржі у 36,3 млн дол. Mercado Bitcoin планує 9 листопада відновити перегляд рахунків; виведення коштів і торгівля спочатку залишатимуться недоступними.
Оновлення Bitquery від четверга показало, що втрати в 11 блокчейнах перевищили 48 млн дол., що суперечить заяві біржі про оперативне блокування атаки. Mercado Bitcoin повідомила 2 листопада о 9:56 за бразильським часом, що інцидент швидко стримано. За даними Bitquery, з 9:27 до 13:56 за бразильським часом було спустошено 36 042 Ethereum-адреси клієнтських депозитів. На них припадало приблизно 266 тис. дол. — лише мала частина загальних втрат. Навіть після оголошення біржі атакувальник міг далі переказувати ці кошти.
Депозитна адреса функціонує як особистий рахунок для отримання криптовалюти. Біржа агрегує ці монети в спільний онлайн-гаманець, відомий як гарячий гаманець, для щоденних операцій. Для переказу коштів з депозитної адреси потрібен її приватний ключ — секретний ключ, який авторизує переказ. Bitquery заявила, що такі виведення були авторизовані безпосередньо з депозитних адрес; це вказує, що атакувальник міг отримати приватні ключі цих адрес або системні дозволи, які дають змогу підписувати транзакції від їхнього імені. Дослідники пояснили: «Це вимагає, щоб кожна адреса мала власний ключ або доступ до системи, яка підписує транзакції за ці адреси». Вони попередили, що біржі зазвичай генерують депозитні ключі з єдиного майстер-ключа, а отже, атакувальники могли зберегти доступ до інших клієнтських адрес.
Сума викраденого також є спірною. Початкові оцінки перевищували 40 млн дол., тоді як на останній сторінці FAQ Mercado Bitcoin зазначено про постраждалі активи приблизно на 36,3 млн дол. Bitquery оцінює загальні втрати в 11 блокчейнах у 48,6 млн дол. Публічне оновлення Mercado Bitcoin не пояснило розбіжність між заявою про «локалізацію» проблеми та подальшими переказами. Компанія запевнила клієнтів, що покриє їхні збитки власними коштами. Bitquery застерігає клієнтів не використовувати старі депозитні адреси повторно, доки біржа не підтвердить їхню безпеку. План відновлення Mercado Bitcoin стартує 9 листопада: спочатку буде доступний лише перегляд балансу; депозити, виведення та торгівля не мають запланованої дати відновлення.
