Mercado Bitcoin, l'une des plus grandes plateformes d'échange de cryptomonnaies au Brésil, a confirmé lundi un incident de sécurité que les analystes blockchain estiment avoir drainé plus de 46 millions de dollars de ses portefeuilles. Bien que l'entreprise ait annoncé la suspension des dépôts et des retraits, les adresses liées à l'incident ont continué de recevoir des fonds pendant des heures par la suite.

Dickson Wu, ingénieur en sécurité senior chez Certik, a publié une première analyse de l'incident sur X, écrivant que les attaquants « s'attaquaient à huit petites chaînes pendant quatre heures », dont Base, Optimism et Arbitrum. L'attaque s'est ensuite déplacée vers les principaux hot wallets de l'entreprise avant de soutirer de minuscules montants d'Ether (ETH) depuis 27 160 adresses différentes.

« Donc quiconque a fait cela peut également sortir de l'argent des adresses de dépôt des clients de MB », a écrit Wu.

Selon les entreprises de sécurité, le piratage a été réalisé par des transferts standards plutôt que par l'exploitation d'un contrat intelligent. Mercado Bitcoin a déclaré que la violation n'aurait aucun impact financier sur ses clients. Cette distinction importe pour les efforts de récupération : les transferts directs laissent une trace visible sur les blockchains publiques que les enquêteurs peuvent suivre, et les stablecoins volés peuvent être gelés au niveau du token par leurs émetteurs.

Les fonds ont continué de circuler après l'annonce de la suspension

Wu a rapporté que, quelques heures après l'annonce par Mercado Bitcoin de la suspension temporaire des dépôts et des retraits, les fonds ont continué de sortir des adresses liées à la violation, suivis de milliers de petits transferts d'ETH acheminés vers une seule adresse.

Un porte-parole de Mercado Bitcoin a déclaré à Cointelegraph que les clients n'avaient subi aucune perte et qu'aucune donnée n'avait fuité. L'entreprise n'a toutefois pas répondu aux demandes de commentaire concernant les transferts en cours. Une violation de données de ce type pourrait également déclencher des obligations de notification auprès de l'autorité brésilienne de protection des données.

Le piratage n'a pas encore été attribué à un groupe organisé et l'enquête se poursuit.

Parmi les fonds volés, environ 6,2 millions de dollars avaient été gelés par les émetteurs de stablecoins Tether et Circle au 16 h 42 UTC. Environ 20 millions de dollars avaient été transférés vers des portefeuilles nouvellement créés, tandis que plus de 20 millions de dollars demeuraient dans des adresses associées identifiées par Mercado Bitcoin, y compris les 106 BTC. La question de savoir si davantage de fonds restants peuvent être gelés, et quand la plateforme lèvera sa suspension temporaire, constituent les points immédiats à surveiller au fur et à mesure de l'enquête.

La plateforme rejoint la liste croissante des victimes de violations

Mercado Bitcoin comptait 4,5 millions d'utilisateurs en juillet, lorsque l'émetteur de stablecoins Tether a annoncé un investissement de 20 millions de dollars pour soutenir l'expansion de la plateforme dans la tokenisation, les paiements et le crédit. Une autre plateforme soutenue par Tether en Amérique latine, la chilienne Orionx, a annoncé sa fermeture en septembre après qu'une audit forensique a révélé que plus de 7 millions de dollars d'actifs clients avaient été transférés vers des portefeuilles hors de son contrôle.

L'incident est survenu quelques jours après que Binance a signalé jeudi un piratage de 6,3 milliards de dollars ciblant ses hot wallets. Binance a suspendu les dépôts et les retraits et s'est engagée à couvrir les pertes des clients, avant de commencer à reprendre les retraits dimanche, indiquant avoir reconstitué 95 % des actifs volés. Prises ensemble, ces récentes incidents montrent que les hot wallets des plateformes restent une cible d'attaque récurrente, les opérateurs répondant par des suspensions de retraits, des engagements à absorber les pertes des clients et, lorsque des stablecoins sont impliqués, des gelés par les émetteurs.