Un attaccante ha svuotato indirizzi di deposito collegati a Mercado Bitcoin per quasi quattro ore dopo che l'exchange brasiliano aveva annunciato di aver contenuto una violazione della sicurezza, secondo una nuova ricerca blockchain.

L'analisi aggiornata della società di analisi blockchain Bitquery traccia oltre 48 milioni di dollari in asset rubati su 11 blockchain, portando il totale a 48,6 milioni di dollari — superando l'ultima stima di Mercado Bitcoin di circa 36,3 milioni di dollari. I risultati contestano l'affermazione dello scambio di aver fermato rapidamente l'attacco.

L'exchange ha annunciato alle 9:56, ora del Brasile, del 2 novembre di aver rapidamente contenuto l'incidente. I dati di Bitquery mostrano che 36.042 indirizzi di deposito Ethereum dei clienti sono stati svuotati tra le 9:27 e le 13:56, ora del Brasile — il che significa che i trasferimenti sono iniziati circa mezz'ora prima dell'annuncio e sono continuati per quasi quattro ore dopo.

Quegli indirizzi contenevano circa 266.000 dollari, una piccola frazione del totale del furto. Ciononostante, l'attaccante è stato in grado di spostare i fondi molto tempo dopo che lo scambio aveva dichiarato la violazione sotto controllo.

Un indirizzo di deposito di un cliente funziona in gran parte come un conto di ricezione personale per criptovalute. L'exchange raccoglie successivamente quelle monete in un portafoglio online condiviso, noto come hot wallet, per elaborare le transazioni quotidiane. Spostare fondi da un indirizzo di deposito richiede la sua chiave privata — il segreto che autorizza i trasferimenti.

Bitquery afferma che i prelievi sono stati autorizzati direttamente dagli indirizzi di deposito, suggerendo che l'attaccante aveva accesso alle loro chiavi private o a un sistema in grado di firmare transazioni per loro conto.

"Serve una chiave per ogni indirizzo, o un accesso al sistema che firma per loro", hanno spiegato i ricercatori. Hanno avvertito che gli exchange tipicamente generano le chiavi di deposito da un'unica chiave principale, il che significa che l'attaccante potrebbe ancora essere in grado di accedere ad altri indirizzi dei clienti.

Anche l'entità del furto è contestata. Le stime iniziali indicavano un importo superiore a 40 milioni di dollari, mentre le FAQ aggiornate di Mercado Bitcoin collocano ora gli asset coinvolti a circa 36,3 milioni di dollari. Bitquery sostiene che siano stati rubati 48,6 milioni di dollari su 11 blockchain.

Gli aggiornamenti pubblici dell'exchange non hanno spiegato il divario tra l'affermazione di contenimento e i trasferimenti successivi. La società ha assicurato ai clienti che coprirà le perdite degli utenti con i propri fondi. Finché i totali contrastanti non saranno riconciliati, però, l'intera portata di quanto si è impegnata a coprire rimane indefinita.

Bitquery avverte i clienti di non riutilizzare i vecchi indirizzi di deposito finché lo scambio non conferma che sono sicuri. Il piano di riapertura di Mercado Bitcoin inizia il 9 novembre con la sola visualizzazione dei saldi; depositi, prelievi e trading attualmente non hanno una data di ripresa. Questo programma lascia diverse domande aperte per i clienti che seguono i prossimi aggiornamenti dello scambio: quando è stato effettivamente interrotto l'accesso dell'attaccante, come verranno risolti i totali contestati e se i vecchi indirizzi di deposito saranno dichiarati sicuri per il riutilizzo prima del ritorno dei servizi principali.