新しいブロックチェーン調査によると、ブラジルの取引所がセキュリティ侵害を封じ込めたと発表した後も、攻撃者はメルカド・ビットコインに関連する入金アドレスからほぼ4時間にわたり資金を流出させ続けていました。

ブロックチェーン分析企業Bitqueryの最新の分析では、11のブロックチェーンにわたって480万ドルを超える窃取資産が追跡されており、総額は4,860万ドルに達し、メルカド・ビットコインの最新推定である約3,630万ドルを上回っています。この調査結果は、取引所が攻撃を素早く阻止したとする主張に疑問を投げかけるものです。

同取引所は11月2日ブラジル時間午前9時56分に、インシデントを速やかに封じ込めたと発表しました。Bitqueryのデータによると、36,042件のイーサリアム顧客入金アドレスがブラジル時間の午前9時27分から午後1時56分の間に空にされており、送金は発表の約30分前に始まり、その後もほぼ4時間にわたり継続していました。

これらのアドレスに保管されていたのは約266,000ドルで、窃取総額のごく一部に過ぎません。それでも、攻撃者は取引所が被害を封じ込めたと発表した後も長時間にわたり資金を移動できました。

顧客の入金アドレスは、暗号資産における個人の受取口座のような役割を果たします。取引所はその後、日々の取引を処理するために、これらのコインをホットウォレットと呼ばれる共有オンラインウォレットに集約します。入金アドレスから資金を移動するには、送金を承認する秘密の情報である秘密鍵が必要です。

Bitqueryによると、今回の出金は入金アドレス自体によって直接承認されており、攻撃者がこれらの秘密鍵にアクセスできたか、あるいは攻撃者に代わってトランザクションに署名できるシステムを握っていたことを示唆しています。

「各アドレスの鍵が必要か、あるいは代理で署名するシステムへの侵入経路が必要です」と調査担当者は説明しています。同社は、取引所が通常、単一のマスターキーから入金用の鍵を生成していると警告しており、攻撃者が他の顧客アドレスにもアクセスできる可能性を残しています。

窃取額についても見解が分かれています。当初の推定では4,000万ドルを超えるとされていましたが、メルカド・ビットコインの更新されたFAQでは、影響を受けた資産を約3,630万ドルとしています。Bitqueryは、11のブロックチェーンにわたって4,860万ドルが窃取されたという見解を維持しています。

取引所の公開情報は、封じ込め主張とその後の送金との間のギャップを説明していません。同社は顧客に対し、ユーザー損失を自社資金で補償する方針を保証しています。しかし、食い違う集計が整理されるまで、補償対象となる全範囲は未確定のままです。

Bitqueryは、取引所が安全性を確認するまで、古い入金アドレスを再利用しないよう顧客に警告しています。メルカド・ビットコインの再開計画は11月9日から残高照会のみで始まります。入金、出金、取引については現在、再開時期は未定です。この日程は、取引所の次の発表を注視する顧客にとって、いくつかの未解決の疑問を残しています。攻撃者のアクセスが実際に遮断されたのはいつか、食い違う総額はどのように解決されるのか、そして主要サービス再開前に古い入金アドレスの再利用が許可されるのか、という点です。