Mercado Bitcoin stellt Betrieb nach Sicherheitsvorfall über 38 Mio. USD ein; 11,2 Mio. USD eingefroren
Wichtige Erkenntnisse
- •Angreifer erlangten am 2. November die Kontrolle über Wallets von Mercado Bitcoin und bewegten rund 38 Millionen USD in digitalen Assets über mindestens 10 Blockchains, wobei sich die größten Bewegungen auf ein Zeitfenster von etwa 34 Minuten konzentrierten.
- •Bei den Transfers handelte es sich um gewöhnliche Wallet-Bewegungen und nicht um einen Smart-Contract-Exploit, was darauf hindeutet, dass die Täter die erforderlichen privaten Schlüssel oder Signatur-Zugangsdaten erlangt haben.
- •Die Koordination mit Tether, Circle, Paxos, BRL1 und Chainalysis führte zur Sperrung von rund 11,2 Millionen USD, einschließlich der vom Tether-CEO bestätigten mehr als 4,5 Millionen USDT.
- •Bitquery schätzte die Gesamtabflüsse auf 48,5 Millionen USD und stellte fest, dass Tausende Ethereum-Einzahlungsadressen von Kunden nach der verkündeten Eindämmung geleert wurden, was darauf hindeutet, dass die Kompromittierung über die primären Hot Wallets hinausging.
- •Mercado Bitcoin hat die brasilianischen Behörden informiert, zugesichert, dass Kunden keine Verluste tragen werden, und vor betrügerischen Erstattungsnachrichten gewarnt, während die forensischen Arbeiten ohne bestätigten Zeitplan für die Wiedereröffnung andauern.
Mercado Bitcoin, eine der größten Kryptowährungsbörsen Brasiliens, hat den Betrieb nach einem Sicherheitsvorfall ausgesetzt, der etwa 38 Millionen USD in digitalen Assets betrifft; 11,2 Millionen USD wurden bereits eingefroren, während Ermittler verdächtige Transfers über mehrere Blockchains verfolgen.
Der Vorfall ereignete sich am 2. November, als Angreifer angeblich die Kontrolle über Wallets der Börse erlangten und erhebliche Kryptobestände auf neu erstellte Adressen verlagerten. Mercado Bitcoin stoppte zunächst Ein- und Auszahlungen, bevor das Unternehmen seine Plattform vorübergehend offline nahm und den Vorfall in einer Erklärung auf X bekannt gab.
Das Unternehmen betonte, die Kundengelder blieben geschützt und keine persönlichen Daten seien kompromittiert worden, wobei unabhängige Blockchain-Forscher auch nach der verkündeten Eindämmung des Vorfalls weiterhin verdächtige Transaktionen meldeten.
Angriff umfasst mindestens 10 Blockchains
Die betroffenen Wallets waren auf mindestens 10 Netzwerken aktiv, darunter Bitcoin, Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain und Stellar. Das Blockchain-Sicherheitsunternehmen Hypernative identifizierte zunächst mehr als 40 Millionen USD an verdächtigen Transfers, wobei sich die größten Bewegungen auf ein Fenster von rund 34 Minuten zwischen 06:19 und 06:53 UTC konzentrierten. Eine solch umfangreiche Bewegung über separate Ledgers erfordert, dass Ermittler die Aktivitäten chain für chain abgleichen – ein Grund, warum Analyseunternehmen sich überschneidende Teile der Abflüsse kartieren.
Zu den transferierten Assets gehörten rund 106 BTC, 2.852 ETH, 10.700 SOL, 6,7 Millionen XLM und 77.000 AVAX sowie mehr als 200 weitere Kryptowährungen. Die Transaktionen bestanden offenbar aus gewöhnlichen Wallet-Transfers und nicht aus einem Smart-Contract-Exploit, was die Frage aufwirft, wie die Angreifer die Autorisierung zur Bewegung der Mittel erlangten. Dieser technische Unterschied ist relevant: Anders als bei einem Smart-Contract-Exploit, der Schwachstellen im On-Chain-Code ausnutzt, kann ein gewöhnlicher Transfer nur von demjenigen ausgeführt werden, der die entsprechenden privaten Schlüssel oder Signatur-Zugangsdaten kontrolliert – die Frage, wie die Signaturenbefugnis erlangt wurde, steht daher im Mittelpunkt der Untersuchung.
Eine weitere Analyse der betroffenen Wallets, dokumentiert in einer Untersuchung des On-Chain-Analyseplatforms Bitquery, schätzte die Gesamtabflüsse auf 48,5 Millionen USD und stellte fest, dass Tausende Ethereum-Einzahlungsadressen nach der ersten Eindämmungsmitteilung von Mercado Bitcoin geleert wurden. Die Erkenntnisse deuten darauf hin, dass sich die Kompromittierung möglicherweise über die primären Hot Wallets der Börse hinaus auf die Infrastruktur erstreckt hat, die einzelne Kundeneinzahlungsadressen kontrolliert. Börsen generieren in der Regel für jeden Kunden eine eigene Einzahlungsadresse und nutzen internetverbundene Hot Wallets für die tägliche Abwicklung; die Kontrolle über beide Ebenen würde daher weit mehr Geldflüsse einer Börse umfassen als die Kompromittierung einer einzelnen Hot Wallet. Die genaue Angriffsmethode und die gesamte finanzielle Auswirkung werden noch untersucht.
Mercado Bitcoin bezifferte den Wert der betroffenen Assets anschließend auf etwa 38 Millionen USD und berichtete zugleich von Fortschritten bei der Sperrung der mit dem Vorfall verbundenen Mittel. Diese Zahl und die höhere Schätzung von Bitquery sind bisher nicht abgeglichen worden.
Tether und andere Emittenten helfen, 11,2 Millionen USD einzufrieren
Die Börse koordiniert sich mit Stablecoin-Emittenten und Blockchain-Analyseunternehmen, um weitere Bewegungen der betroffenen Kryptowährungen zu verhindern. Tether-CEO Paolo Ardoino bestätigte auf X, dass mehr als 4,5 Millionen USDT im Zusammenhang mit dem Vorfall eingefroren wurden. Mercado Bitcoin meldete später rund 11,2 Millionen USD an blockierten Assets durch die Zusammenarbeit mit Partnern wie Tether, Circle, Paxos, BRL1 und Chainalysis und bezifferte den Betrag in einem Beitrag auf X.
Der steigende Gesamtbetrag zeigt, wie Emittenten-Sperrungen funktionieren: Stablecoin-Emittenten wie Tether, Circle und Paxos können bestimmte Adressen auf Contract-Ebene des Tokens sperren und Transfers der dort gehaltenen Token sofort blockieren. Native Assets wie Bitcoin und Ethereum haben keine vergleichbare zentrale Kontrolle, sodass ihre Rückgewinnung vom Aufspüren der Transfers abhängt. Weitere Mittel wurden als potenziell rückholbar identifiziert, wobei das Einfrieren von Kryptowährungen diese nicht automatisch an die Börse zurückführt.
Mercado Bitcoin hat die brasilianischen Behörden informiert und setzt die forensischen Untersuchungen fort, während die Wiederherstellung des normalen Betriebs vorbereitet wird. Das Unternehmen hat keinen bestätigten Zeitplan für die Wiedereröffnung angekündigt.
Branchenkontext: Aktuelle bekannte Angriffe
Der Vorfall occurred Tage nach dem rekordverdächtigen Binance-Hack über 6,3 Milliarden USD, den das FBI der nordkoreanischen Operation TraderTraitor zuschrieb. Binance nahm die Auszahlungen anschließend wieder auf, nachdem das Unternehmen die meisten betroffenen Kundengelder ausgeglichen hatte. Am 29. Oktober war Polymarket von einem Wallet-Draining-Angriff über 2,7 Millionen USD betroffen, an dem ein kompromittierter Drittanbieter-Überwachungsdienst beteiligt war. Aktuell gibt es keine Hinweise, die den Vorfall bei Mercado Bitcoin mit einem der beiden Angriffe verbinden; die Identität der Täter ist unbekannt.
Schutz der Kunden und nächste Schritte
Mercado Bitcoin hat bekräftigt, dass Kunden keine Verluste aus dem Vorfall tragen werden. Das Unternehmen warnte die Nutzer zudem vor betrügerischen Erstattungsnachrichten und betonte, dass legitime Support-Mitarbeiter niemals Passwörter, Verifizierungscodes oder Wallet-Wiederherstellungsphrasen anfordern würden.
Die unmittelbaren Prioritäten der Börse bleiben die Rückgewinnung der betroffenen Assets, die Aufklärung des Sicherheitsversagens und die Wiederherstellung des Betriebs, ohne die Kundengelder weiteren Risiken auszusetzen. Der bestätigte Zeitplan für die Wiedereröffnung, die forensischen Erkenntnisse dazu, wie die Wallet-Autorisierung erlangt wurde, und eine mögliche Erhöhung des eingefrorenen Betrags von 11,2 Millionen USD sind die wichtigsten Indikatoren, auf die es im weiteren Verlauf zu achten gilt.
