メルカドビットコインのハッカー、盗んだ代替コイン1,100万ドル分をETHに換金
重要ポイント
- •メルカドビットコインの攻撃者に関連するウォレットは、2026年11月3日から4日にかけてHopブリッジを通じて136種類以上の盗まれたトークンをイーサに変換し、変換総額は1,055万ドルから1,190万ドルと推定されている。
- •約65万ドルをビットコインにブリッジしようとした別の試みは途中で停止し、失敗した移転と説明されている。
- •テザーとサークルは侵害に関連するステーブルコイン1,100万ドル超を凍結した。発行企業による凍結が不可能なイーサへの攻撃者の移行を後押しした可能性が高い。
- •11月2日の署名に基づく攻撃により、10を超えるブロックチェーン上のメルカドビットコインのホットウォレットと顧客の入金アドレスから資金が流出し、暫定損失は約3,800万ドル、独立系の推定では最大4,900万ドルに達する。
- •メルカドビットコインは影響を受けたユーザーへの返金を約束しており、この件で顧客データは漏洩していないと表明している。
ブラジルの暗号資産取引所でラテンアメリカ最大級の暗号資産取引プラットフォームであるメルカドビットコインへの侵入の背後にいるハッカーが、盗んだ資金の換金を開始した。攻撃に関連するHopウォレットは、136種類以上の盗まれたトークンをイーサ（ETH）に変換しており、散在していた多数の代替コインを暗号資産で最も流動性の高い資産のひとつに集約した。一方、約65万ドルをビットコインに移そうとした別の試みは、中断したままとなっている。この換金は、11月2日の侵入以降で最も大規模な盗難資金の動きである。
雑多なトークンの山から単一資産へ
トークンの変換は2026年11月3日から11月4日にかけて実行された。この期間に攻撃者は盗んだトークンを1,055万ドル分売却してETHにし、136種類以上の異なるトークンをイーサにスワップした。変換された総額の推定は約1,055万ドルから1,190万ドルの範囲にわたる。いずれの数字であっても、盗まれた資金の大きな割合が数十の小さなポジションに分散する形ではなく、単一の資産に集まっていることになる。
Hop自体はクロスチェーンブリッジ、すなわちトークンをブロックチェーン間で移動させるために構築されたサービスであり、今回の場合、散在していた資金を単一の流動性の高い資産に送り込む経路として機能した。
ETHへの移行には実務的な理由がある。100を超える小型トークンは、価格を下げたり注目を集めたりすることなく売却するのが困難である。イーサは大口の取引を吸収できるだけの流動性を備えており、中央発行のステーブルコインとは異なり、要求に応じて凍結できる発行企業が存在しない。
作戦のビットコイン側は順調には進まなかった。約65万ドル相当のBTCへのブリッジ移転は停止しているように見え、失敗した試みと説明されている。ブリッジは資産をあるブロックチェーンから別のブロックチェーンへ運ぶサービスであり、途中で停止した移転は、資金が攻撃者の手には渡らず、輸送中のまま留まることを意味する。この金額は、攻撃者がすでに変換した約1,055万ドルから1,190万ドルのうちのわずかな割合にすぎない。
侵害はどのように発生したか
攻撃は2026年11月2日に発生し、攻撃者はメルカドビットコインのホットウォレットと、10を超えるブロックチェーンに分散していた顧客の入金アドレスから資金を流出させた。インターネットに接続されたまま入出金を処理するホットウォレットは、コールドストレージよりも一般的に露出が多く、入金アドレスは個々のユーザーのために生成される固有の受取アドレスである。これほど多くのネットワークにまたがる足跡は、取引の痕跡を複数の公開台帳に散らす結果となり、資金の全体的な流れを再構築するにはそれぞれを個別に調査する必要がある。
この事件は、署名に基づく攻撃と特徴づけられている。広く言えば、このカテゴリーは攻撃者が取引を承認する能力を獲得するケースを指す。つまり、金庫を破るのではなく、小切手に署名するペンを手に入れるようなものである。
主要な資金移動は06:19から06:53 UTCの間に観測され、その時間帯が過ぎた後も数時間にわたり流出が続いた。
メルカドビットコインの暫定数値では損失は約3,800万ドルとされ、独立系の分析では総額が最大4,900万ドルに達する可能性が示唆されている。この差は、取引所の精算作業が完了するにつれて縮まると見込まれる。
ステーブルコイン発行者が資金の凍結に動く
ステーブルコイン発行者は迅速に動いた。テザーとサークルを含む発行者が、事件に関連するステーブルコイン1,100万ドル超を凍結した。USDTとUSDCという関係するトークンは、それぞれテザーとサークルが発行している。
この凍結は、攻撃者がイーサに移行した理由を説明するのに役立つ。盗まれたUSDTやUSDCは、発行者がいくつかの管理操作を行うだけで固定できる。一方、イーサにはそのような停止スイッチが存在せず、盗人が手元に置いておきたい資金の受け先として明白な選択となっている。
取引所の対応
メルカドビットコインは、影響を受けたユーザーへの返金を約束している。同取引所はまた、この侵害で顧客データは漏洩していないと表明している。この点はプライバシー以外の観点でも重要である。流出した顧客記録は、取引所ユーザーを標的としたフィッシングキャンペーンに転用されることが常にあるからだ。
注目すべきポイント
最も差し迫った疑問は、盗まれた資金のうちどれだけがまだ回収可能かである。1,100万ドル超のステーブルコインが凍結され、65万ドルのビットコインブリッジが停止したままであることを考えると、盗まれた資金の一部は事実上、攻撃者の手の届かないところにある。すでにスワップされたイーサは話が別である。
注目すべき動向として、メルカドビットコインの最終的な損失額、返金プログラムの仕組みとスケジュール、そしてスワップされたETHが新しいウォレットを通じて移動し始めるかどうかが挙げられる。3,800万ドルと4,900万ドルという推定の差も重要である。これは取引所が埋めると約束した損失の規模を決めるからだ。
ソース：CryptoBriefing
