Un attaquant a vidé des adresses de dépôt liées à Mercado Bitcoin pendant près de quatre heures après que la plateforme brésilienne a annoncé avoir maîtrisé une faille de sécurité, selon de nouvelles recherches blockchain.

L'analyse actualisée de la société d'analyse blockchain Bitquery recense plus de 48 millions de dollars d'actifs volés sur 11 blockchains, portant le total à 48,6 millions de dollars — au-dessus de la dernière estimation de Mercado Bitcoin d'environ 36,3 millions de dollars. Ses conclusions remettent en question l'affirmation de la plateforme selon laquelle elle a rapidement stoppé l'attaque.

La plateforme a annoncé à 9h56, heure du Brésil, le 2 novembre qu'elle avait rapidement maîtrisé l'incident. Les données de Bitquery montrent que 36 042 adresses de dépôt Ethereum de clients ont été vidées entre 9h27 et 13h56, heure du Brésil — ce qui signifie que les transferts ont commencé environ une demi-heure avant l'annonce et se sont poursuivis pendant près de quatre heures après celle-ci.

Ces adresses détenaient environ 266 000 dollars, une petite fraction du vol total. Néanmoins, l'attaquant a pu déplacer les fonds bien après que la plateforme a déclaré que la faille était sous contrôle.

Une adresse de dépôt client fonctionne à peu près comme un compte de réception personnel pour les cryptoactifs. La plateforme regroupe ensuite ces pièces dans un portefeuille en ligne commun, appelé hot wallet, pour traiter les transactions quotidiennes. Déplacer des fonds depuis une adresse de dépôt nécessite sa clé privée — le secret qui autorise les transferts.

Bitquery indique que les retraits ont été autorisés directement par les adresses de dépôt, ce qui suggère que l'attaquant avait accès à leurs clés privées ou à un système capable de signer des transactions en leur nom.

« Cela nécessite une clé pour chaque adresse, ou un accès au système qui signe pour elles », ont expliqué les chercheurs. Ils ont averti que les plateformes génèrent généralement les clés de dépôt à partir d'une clé maîtresse unique, ce qui signifie que l'attaquant pourrait encore être en mesure d'accéder à d'autres adresses de clients.

Le montant du vol est également contesté. Les estimations initiales faisaient état d'un montant supérieur à 40 millions de dollars, tandis que la FAQ actualisée de Mercado Bitcoin chiffre désormais les actifs affectés à environ 36,3 millions de dollars. Bitquery maintient que 48,6 millions de dollars ont été volés sur 11 blockchains.

Les mises à jour publiques de la plateforme n'ont pas expliqué l'écart entre son affirmation de contrôle et les transferts ultérieurs. La société a assuré aux clients qu'elle couvrira les pertes des utilisateurs avec ses propres fonds. Tant que les totaux contradictoires ne sont pas réconciliés, l'étendue complète de ce qu'elle s'est engagée à couvrir reste indéterminée.

Bitquery met en garde les clients contre la réutilisation des anciennes adresses de dépôt tant que la plateforme n'a pas confirmé qu'elles sont sûres. Le plan de réouverture de Mercado Bitcoin débute le 9 novembre avec la seule consultation des soldes ; les dépôts, les retraits et le trading n'ont actuellement aucune date de reprise. Ce calendrier laisse plusieurs questions en suspens pour les clients qui suivent les prochaines mises à jour de la plateforme : le moment où l'accès de l'attaquant a réellement été coupé, la manière dont les totaux contestés seront résolus, et si les anciennes adresses de dépôt seront déclarées sûres pour réutilisation avant le retour des services essentiels.