ブラジル最大級の暗号資産取引所メルカド・ビットコイン（Mercado Bitcoin）は、約3,800万ドルのデジタル資産が関与したセキュリティ侵害を受け、運営を停止した。捜査機関が複数のブロックチェーンにわたる不審な送金を追跡するなか、すでに1,120万ドルが凍結されている。

このインシデントは11月2日に発生した。攻撃者が取引所関連のウォレットを乗っ取り、大量の暗号資産を新たに作成したアドレスへ移動させたとされる。メルカド・ビットコインは当初、入出金を停止し、その後プラットフォームを一時的にオフラインにした。Xでの声明でインシデントを公表している。

同社は顧客資産が保護されており、個人情報は漏洩していないと主張しているが、取引所が封じ込めを宣言した後も、独立系ブロックチェーン研究者による不審な取引の指摘は続いている。

攻撃は少なくとも10のブロックチェーンに波及

関係したウォレットは、ビットコイン、イーサリアム、Solana、Tron、Polygon、Arbitrum、Avalanche、BNB Chain、Stellarを含む少なくとも10のネットワークで稼働していた。ブロックチェーンセキュリティ企業Hypernativeは当初、4,000万ドル超の不審な送金を確認し、最大規模の資産移動は06:19から06:53（UTC）までの約34分間に集中していた。複数の台帳にまたがるこの規模の急激な流出は、捜査側が鎖ごとに活動を照合する必要を生んでおり、分析企業が流出の重複部分のマッピングを進める理由となっている。

移動した資産には、約106 BTC、2,852 ETH、10,700 SOL、670万XLM、77,000 AVAXに加え、200種類以上のその他の暗号資産が含まれていた。取引はスマートコントラクトの悪用ではなく、通常のウォレット送金によるものとみられ、攻撃者がどのように資産移動の権限を取得したのかが問われている。この違いは技術的に重要だ。スマートコントラクトの悪用はオンチェーンコードの欠陥を突くのに対し、通常の送金は関連する秘密鍵や署名認証情報を管理する者のみが実行できるため、署名権限をいかに取得したのかが捜査の中心課題となっている。

オンチェーン分析プラットフォームBitqueryによる調査に基づく対象ウォレットの追加分析では、総流出額が4,850万ドルと推計され、メルカド・ビットコインが最初の封じ込めを発表した後に、数千のイーサリアム入金アドレスが空にされたことが確認された。この結果は、侵害が取引所の主要ホットウォレットを超え、顧客ごとの入金アドレスを管理するインフラにまで及んだ可能性を示唆している。取引所は通常、顧客ごとに固有の入金アドレスを生成し、日常処理にはインターネット接続されたホットウォレットを利用するため、両層の掌握は単一のホットウォレット侵害よりもはるかに広範な資金流を対象とすることになる。正確な攻撃手法と経済的損失の全体像は、現在も調査中である。

メルカド・ビットコインはその後、関係資産の価値を約3,800万ドルと発表し、インシデント関連資金のブロックが進捗していると報告した。この数値とBitqueryのより高い推計は、まだ擦り合わせが完了していない。

Tetherなど発行者が1,120万ドルの凍結を支援

取引所は、ステーブルコイン発行者やブロックチェーン分析企業と連携し、対象暗号資産のさらなる移動を防止している。TetherのPaolo ArdoinoCEOは、インシデントに関連する450万USDT超が凍結されたことをXで確認した。メルカド・ビットコインはその後、Tether、Circle、Paxos、BRL1、Chainalysisなどのパートナーとの協力により、約1,120万ドルの資産がブロックされたと報告し、Xへの投稿でその数値を詳述した。

この凍結額の増加は、発行者による凍結の仕組みを反映している。Tether、Circle、Paxosなどのステーブルコイン発行者は、トークンコントラクトのレベルで特定のアドレスをブラックリストに登録でき、そこに保管されたトークンの移転を即座に阻止できる。一方、ビットコインやイーサリアムなどのネイティブ資産にはこれに相当する中央管理がなく、回収は追跡に依存する。さらなる資金も回収可能と特定されているが、暗号資産の凍結は自動的に取引所へ返還されるものではない。

メルカド・ビットコインはブラジル当局に通報しており、通常サービスの復旧に向けた準備を進めながらフォレンジック調査を継続している。同社は正式な再開時期を発表していない。

業界背景：最近の大規模攻撃

今回の侵害は、FBIが北朝鮮のTraderTraitor作戦によるものとした、記録的な63億ドルのバイナンス（Binance）ハッキングの数日後に発生した。バイナンスはその後、影響を受けた顧客資産の大半を補てんし、出金を再開している。10月29日には、Polymarketが第三者監視サービスの侵害に起因する270万ドルのウォレット空化攻撃を受けている。現在のところ、メルカド・ビットコインのインシデントとこれらの攻撃を結び付ける証拠はなく、実行者の正体も不明のままである。

顧客保護と今後の対応

メルカド・ビットコインは、今回の侵害で生じた損失を顧客が負担することはないと再表明している。また、不正な返金メッセージへの警戒をユーザーに呼びかけ、正規のサポート担当者がパスワード、認証コード、ウォレットのリカバリーフレーズを求めることは決してないと強調している。

取引所の最優先事項は、被害資産の回収、セキュリティ上の失敗の特定、そして顧客資産をさらなるリスクに晒さずに運営を復旧することである。正式な再開時期、ウォレット権限の取得方法に関するフォレンジックの調査結果、1,120万ドルの凍結総額の増加が、対応の展開において注目すべきポイントとなる。