Un atacante drenó direcciones de depósito vinculadas a Mercado Bitcoin durante casi cuatro horas después de que la exchange brasileña anunciara haber contenido una brecha de seguridad, según una nueva investigación de blockchain.

El análisis actualizado de la firma de análisis de blockchain Bitquery rastrea más de 48 millones de dólares en activos robados a través de 11 blockchains, situando el total en 48,6 millones de dólares, por encima de la última estimación de Mercado Bitcoin de unos 36,3 millones de dólares. Sus hallazgos cuestionan la afirmación de la exchange de que detuvo el ataque rápidamente.

La exchange anunció a las 9:56 a.m., hora de Brasil, del 2 de noviembre que había contenido rápidamente el incidente. Los datos de Bitquery muestran que 36.042 direcciones de depósito de Ethereum de clientes fueron vaciadas entre las 9:27 a.m. y la 1:56 p.m., hora de Brasil, lo que significa que las transferencias comenzaron aproximadamente media hora antes del anuncio y continuaron durante casi cuatro horas después.

Esas direcciones contenían alrededor de 266.000 dólares, una pequeña fracción del robo total. Aun así, el atacante pudo mover los fondos bastante tiempo después de que la exchange dijera que la brecha estaba bajo control.

Una dirección de depósito de cliente funciona de manera muy similar a una cuenta personal de recepción de criptomonedas. La exchange luego reúne esas monedas en una billetera en línea compartida, conocida como hot wallet, para procesar las transacciones diarias. Mover fondos desde una dirección de depósito requiere su clave privada, el secreto que autoriza las transferencias.

Bitquery señala que los retiros fueron autorizados directamente por las direcciones de depósito, lo que sugiere que el atacante tuvo acceso a sus claves privadas o a un sistema capaz de firmar transacciones en su nombre.

"Eso requiere una clave para cada dirección, o una forma de acceder al sistema que firma por ellas", explicaron los investigadores. Advertieron que las exchanges suelen generar las claves de depósito a partir de una única clave maestra, lo que significa que el atacante todavía podría acceder a otras direcciones de clientes.

El monto del robo también está en disputa. Las estimaciones iniciales situaban el monto por encima de los 40 millones de dólares, mientras que las preguntas frecuentes actualizadas de Mercado Bitcoin ahora sitúan los activos afectados en unos 36,3 millones de dólares. Bitquery sostiene que se robaron 48,6 millones de dólares a través de 11 blockchains.

Las actualizaciones públicas de la exchange no han explicado la discrepancia entre su afirmación de contención y las transferencias posteriores. La empresa ha asegurado a los clientes que cubrirá las pérdidas de los usuarios con sus propios fondos. Sin embargo, hasta que se concilien los totales en disputa, el alcance completo de lo que se ha comprometido a cubrir sigue sin definirse.

Bitquery advierte a los clientes que no reutilicen las direcciones de depósito antiguas hasta que la exchange confirme que son seguras. El plan de reapertura de Mercado Bitcoin comienza el 9 de noviembre solo con consulta de saldos; los depósitos, retiros y operaciones no tienen actualmente fecha de reinicio. Ese cronograma deja varias preguntas abiertas para los clientes que siguen las próximas actualizaciones de la exchange: cuándo se cortó realmente el acceso del atacante, cómo se resolverán los totales en disputa y si las direcciones de depósito antiguas serán habilitadas para su reutilización antes de que regresen los servicios principales.