Mercado Bitcoin, een van de grootste cryptobeurzen van Brazilië, heeft de activiteiten gestaakt na een securitybreach waarbij ongeveer $38 miljoen aan digitale activa betrokken was, waarvan $11,2 miljoen al is bevroren terwijl onderzoekers verdachte transacties over meerdere blockchains natrekken.

Het incident vond plaats op 2 november, toen aanvallers naar verluidt de controle overnamen over wallets die aan de beurs zijn gekoppeld en aanzienlijke hoeveelheden crypto verplaatsten naar nieuw aangemaakte adressen. Mercado Bitcoin schortte eerst stortingen en opnames op voordat het platform tijdelijk offline werd gehaald; het incident werd bekendgemaakt in een verklaring op X.

Het bedrijf hield vol dat de activa van klanten beschermd blijven en dat er geen persoonlijke gegevens zijn gecompromitteerd, al bleven onafhankelijke blockchainonderzoekers verdachte transacties signaleren, zelfs nadat de beurs had verklaard dat het incident onder controle was.

Aanval omvat ten minste 10 blockchains

De betrokken wallets opereerden op ten minste 10 netwerken, waaronder Bitcoin, Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain en Stellar. Het blockchaingeveiligheidsbedrijf Hypernative identificeerde aanvankelijk meer dan $40 miljoen aan verdachte transacties, waarbij de grootste bewegingen waren geconcentreerd in een venster van ongeveer 34 minuten tussen 06:19 en 06:53 UTC. Een uitbarsting van die omvang, verspreid over aparte ledgers, vereist dat onderzoekers de activiteit keten voor keten correleren — een reden waarom analysebedrijven overlappende delen van de uitstroom in kaart brengen.

De verplaatste activa omvatten circa 106 BTC, 2.852 ETH, 10.700 SOL, 6,7 miljoen XLM en 77.000 AVAX, naast meer dan 200 andere cryptocurrencies. De transacties leken te bestaan uit gewone walletoverboekingen in plaats van een smart contract-exploit, wat vragen oproept over hoe de aanvallers autorisatie verkregen om de middelen te verplaatsen. Het technische onderscheid is relevant: anders dan bij een smart contract-exploit, die misbruik maakt van fouten in on-chain code, kan een gewone overboeking alleen worden uitgevoerd door wie de relevante privésleutels of ondertekeningsrechten beheerst. De vraag hoe die ondertekeningsbevoegdheid werd verkregen staat daarmee centraal in het onderzoek.

Nader analyse van de getroffen wallets, gedocumenteerd in een onderzoek van het on-chain analyseplatform Bitquery, schatte de totale uitstroom op $48,5 miljoen en stelde vast dat duizenden Ethereum-stortingsadressen werden leeggehaald na de eerste containmentaankondiging van Mercado Bitcoin. De bevindingen suggereren dat de inbreuk mogelijk verder reikte dan de primaire hot wallets van de beurs en infrastructuren omvatte die individuele klantstortingsadressen beheren. Beurzen genereren doorgaans een uniek stortingsadres per klant en vertrouwen op met internet verbonden hot wallets voor de dagelijkse verwerking, zodat controle over beide lagen veel meer van de geldstromen van een beurs omvat dan de inbreuk van één enkele hot wallet. De precieze aanvalsmethode en de totale financiële impact worden nog onderzocht.

Mercado Bitcoin schatte de waarde van de betrokken activa vervolgens op ongeveer $38 miljoen en meldde voortgang bij het blokkeren van aan het incident gekoppelde fondsen. Dat bedrag en de hogere schatting van Bitquery zijn nog niet met elkaar in overeenstemming gebracht.

Tether en andere uitgevers helpen $11,2 miljoen te bevriezen

De beurs heeft samengewerkt met stablecoinuitgevers en blockchain-intelligencebedrijven om verdere verplaatsing van de getroffen cryptocurrency te voorkomen. Tether-ceo Paolo Ardoino bevestigde op X dat meer dan 4,5 miljoen USDT in verband met het incident is bevroren. Mercado Bitcoin meldde later circa $11,2 miljoen aan geblokkeerde activa via samenwerking met partners waaronder Tether, Circle, Paxos, BRL1 en Chainalysis, zoals uiteengezet in een bericht op X.

Het stijgende totaal weerspiegelt hoe bevriezingen door uitgevers werken: stablecoinuitgevers zoals Tether, Circle en Paxos kunnen specifieke adressen op tokencontractniveau op een zwarte lijst zetten, waardoor transfers van hun tokens daar onmiddellijk worden geblokkeerd. Natieve activa zoals Bitcoin en Ethereum kennen geen vergelijkbare centrale controle, dus het terugvinden ervan hangt af van het natrekken. Er zijn extra fondsen geïdentificeerd als potentieel terugvorderbaar, al betekent het bevriezen van cryptocurrency niet automatisch dat het naar de beurs terugkeert.

Mercado Bitcoin heeft de Braziliaanse autoriteiten geïnformeerd en zet de forensische onderzoeken voort terwijl het de normale dienstverlening voorbereidt. Het bedrijf heeft geen bevestigde planning voor heropening bekendgemaakt.

Sectorcontext: recente spraakmakende aanvallen

De inbreuk volgde enkele dagen na de recordhack van $6,3 miljard bij Binance, die de FBI toeschreef aan de TraderTraitor-operatie van Noord-Korea. Binance hervatte vervolgens de opnames na het aanvullen van de meeste getroffen klantactiva. Op 29 oktober werd Polymarket getroffen door een wallet-ledigende aanval van $2,7 miljoen, waarbij een gecompromitteerde monitoringdienst van derden betrokken was. Er is momenteel geen bewijs dat het incident bij Mercado Bitcoin met een van beide aanvallen verband houdt, en de identiteit van de daders is onbekend.

Klantenbescherming en volgende stappen

Mercado Bitcoin heeft herhaald dat klanten geen verliezen zullen dragen als gevolg van de inbreuk. Het waarschuwde gebruikers ook voor frauduleuze terugbetalingsberichten, met de nadruk erop dat legitieme medewerkers van de klantenservice nooit om wachtwoorden, verificatiecodes of walletherstelzinnen vragen.

De directe prioriteiten van de beurs blijven het terugvinden van de getroffen activa, het achterhalen van de beveiligingsfout en het herstellen van de activiteiten zonder klantgelden aan verder risico bloot te stellen. De bevestigde heropeningsplanning, de forensische bevindingen over hoe de walletautorisatie werd verkregen en een eventuele verhoging van het bevroren totaal van $11,2 miljoen zijn de belangrijkste markeringen om te volgen naarmate de reactie zich ontvouwt.