ブラジル最大級の暗号資産取引所であるメルカド・ビットコインは月曜日、セキュリティ事故を確認した。ブロックチェーン分析の推定では、4,600万ドル以上が同社のウォレットから流出したという。入出金の停止を発表したにもかかわらず、事故に関連するアドレスはその後数時間にわたり資金を受け取り続けた。

CertikのシニアセキュリティエンジニアであるDickson Wu氏は、X上でこの事故の初期検証報告を公表し、攻撃者は「8つの小規模チェーンを4時間にわたって攻めた」と述べた。対象にはBase、Optimism、Arbitrumが含まれていた。その後、攻撃は同社の主要ホットウォレットに移り、27,160の異なるアドレスからごく少額のEther（ETH）が吸い上げられた。

「つまり、この攻撃を行った者はMBの顧客入金用アドレスからも資金を動かせるということです」とWu氏は書いた。

セキュリティ企業によると、このハッキングはスマートコントラクトの脆弱性を突くものではなく、通常の送金を通じて実行された。メルカド・ビットコインは、この侵入により顧客への金銭的影響はないとしている。この違いは資金回収の観点で重要だ。通常の送金は公開ブロックチェーン上に追跡可能な痕跡を残し、盗まれたステーブルコインは発行体によってトークン単位で凍結できるからだ。

停止発表後も資金は動き続けた

Wu氏によると、メルカド・ビットコインが入出金の一時停止を発表した数時間後も、侵入に関連するアドレスから資金は動き続け、その後、数千件の少額ETH送金が単一のアドレスに送り込まれたという。

メルカド・ビットコインの報道担当者はCointelegraphに対し、顧客に損失はなくデータ流出もなかったと述べた。ただし、同社は送金継続に関する取材への回答は行わなかった。この種のデータ漏えいは、ブラジルのデータ保護当局への通知義務を引き起こす可能性もある。

このハッキングはまだ組織的グループによるものと特定されておらず、調査が進行中である。

盗まれた資金のうち、UTC午後4時42分時点で約620万ドルがステーブルコイン発行体のTetherとCircleにより凍結されていた。約2,000万ドルは新たに作成されたウォレットに移され、残りの2,000万ドル超は、106 BTCの全額を含め、メルカド・ビットコインが特定した関連アドレスに留まっている。残りの資金のさらなる凍結が可能か、取引所がいつ一時停止を解除するかが、調査の進展の中で注目すべき当面のポイントだ。

被害取引所のリストに加わるメルカド・ビットコイン

メルカド・ビットコインは7月時点で450万人のユーザーを報告しており、同じく7月にステーブルコイン発行体のTetherが、トークン化、決済、信用分野への拡大を支援するため2,000万ドルの出資を発表していた。ラテンアメリカにおけるTether支援の別の取引所、チリのOrionxは9月、法務監査（フォレンジック監査）で700万ドル超の顧客資産が管理外のウォレットに移されていたことが判明し、閉業を発表した。

この事故は、バイナンスが木曜日に主要ホットウォレットを標的とした63億ドルのハッキングを報告した数日後に発生した。バイナンスは入出金を停止し顧客の損失を補償すると約束した後、日曜日から出金の再開を始め、盗まれた資産の95%を補充したと述べた。これらの相次ぐ事故は、取引所のホットウォレットが繰り返し攻撃の標的となっていること、そして運営各社が出金停止、顧客損失の補償表明、ステーブルコインが関係する場合の発行体による凍結で対応していることを示している。