Ein Angreifer leerräumte mit Mercado Bitcoin verbundene Einzahlungsadressen noch fast vier Stunden, nachdem die brasilianische Börse die Sicherheitsverletzung für eingedämmt erklärt hatte, wie neue Blockchain-Recherchen zeigen.

Die aktualisierte Analyse des Blockchain-Analyseunternehmens Bitquery verfolgt gestohlene Vermögenswerte im Wert von mehr als 48 Millionen US-Dollar über 11 Blockchains hinweg und beziffert die Gesamtsumme auf 48,6 Millionen US-Dollar – über dem neuesten Schätzwert von Mercado Bitcoin von rund 36,3 Millionen US-Dollar. Die Ergebnisse widersprechen der Behauptung der Börse, den Angriff schnell gestoppt zu haben.

Die Börse kündigte am 2. November um 9:56 Uhr brasilianischer Zeit an, den Vorfall schnell eingedämmt zu haben. Bitquerys Daten zeigen, dass 36.042 Ethereum-Einzahlungsadressen von Kunden zwischen 9:27 Uhr und 13:56 Uhr brasilianischer Zeit geleert wurden – das bedeutet, dass die Überweisungen etwa eine halbe Stunde vor der Ankündigung begannen und noch fast vier Stunden danach fortgesetzt wurden.

Diese Adressen enthielten rund 266.000 US-Dollar, nur einen Bruchteil der gesamten Diebstahlsumme. Dennoch konnte der Angreifer die Gelder noch lange bewegen, nachdem die Börse erklärt hatte, die Sicherheitsverletzung sei unter Kontrolle.

Eine Kundeneinzahlungsadresse funktioniert ähnlich wie ein persönliches Empfangskonto für Kryptowährungen. Die Börse fasst diese Münzen später in einer gemeinsamen Online-Wallet, der sogenannten Hot Wallet, zusammen, um alltägliche Transaktionen abzuwickeln. Um Gelder von einer Einzahlungsadresse zu bewegen, ist ihr privater Schlüssel erforderlich – das Geheimnis, das Überweisungen autorisiert.

Laut Bitquery wurden die Abhebungen direkt von den Einzahlungsadressen autorisiert, was darauf hindeutet, dass der Angreifer Zugriff auf ihre privaten Schlüssel oder auf ein System hatte, das Transaktionen in ihrem Namen signieren kann.

„Dafür braucht man einen Schlüssel für jede Adresse oder einen Weg in das System, das für sie signiert“, erklärten die Forscher. Sie warnten, dass Börsen typischerweise Einzahlungsschlüssel aus einem einzigen Masterschlüssel generieren, was bedeutet, dass der Angreifer möglicherweise noch Zugriff auf andere Kundenadressen erhalten kann.

Auch das Ausmaß des Diebstahls ist umstritten. Erste Schätzungen bezifferten die Summe auf über 40 Millionen US-Dollar, während die aktualisierten FAQ von Mercado Bitcoin die betroffenen Vermögenswerte nun auf rund 36,3 Millionen US-Dollar beziffern. Bitquery behauptet, dass 48,6 Millionen US-Dollar über 11 Blockchains hinweg gestohlen wurden.

Die öffentlichen Updates der Börse haben die Diskrepanz zwischen ihrer Eindämmungsbehauptung und den späteren Überweisungen nicht erklärt. Das Unternehmen hat Kunden versichert, die Verluste aus eigenen Mitteln zu übernehmen. Solange die konkurrierenden Berechnungen nicht abgeglichen sind, bleibt der volle Umfang dessen, was das Unternehmen zu übernehmen zugesagt hat, jedoch unklar.

Bitquery warnt Kunden davor, alte Einzahlungsadressen erneut zu verwenden, bis die Börse deren Sicherheit bestätigt. Mercado Bitcoins Wiedereröffnungsplan beginnt am 9. November zunächst nur mit der Kontostandsansicht; für Einzahlungen, Abhebungen und den Handel gibt es derzeit kein Startdatum. Dieser Zeitplan lässt mehrere offene Fragen für Kunden, die die nächsten Updates der Börse verfolgen: wann der Zugriff des Angreifers tatsächlich unterbrochen wurde, wie die umstrittenen Gesamtsummen geklärt werden und ob alte Einzahlungsadressen vor der Rückkehr der Kerndienste wieder freigegeben werden.