Een aanvaller haalde bijna vier uur lang deposito-adressen verbonden aan Mercado Bitcoin leeg, nadat de Braziliaanse beurs had aangekondigd een beveiligingsinbreuk te hebben ingesloten, volgens nieuw blockchainonderzoek.

De bijgewerkte analyse van blockchainanalysebedrijf Bitquery spoort meer dan $48 miljoen aan gestolen activa op elf blockchains na, met een totaal van $48,6 miljoen — boven de nieuwste schatting van Mercado Bitcoin van ongeveer $36,3 miljoen. De bevindingen stellen de claim van de beurs dat ze de aanval snel heeft gestopt ter discussie.

De beurs kondigde op 2 november om 9:56 uur Braziliaanse tijd aan dat het incident snel was ingesloten. De data van Bitquery toont dat 36.042 Ethereum-deposito-adressen van klanten werden leeggehaald tussen 9:27 uur en 13:56 uur Braziliaanse tijd — wat betekent dat de overdrachten ongeveer een half uur vóór de aankondiging begonnen en daarna bijna vier uur doorgingen.

Die adressen hielden ongeveer $266.000 vast, een kleine fractie van de totale diefstal. Desondanks kon de aanvaller de fondsen nog verplaatsen, lang nadat de beurs zei dat de inbreuk onder controle was.

Een klantdeposito-adres werkt veelal als een persoonlijk ontvangstrekening voor cryptocurrency. De beurs bundelt die munten later in een gedeelde online portemonnee, een zogenaamde hot wallet, om dagelijkse transacties te verwerken. Het verplaatsen van fondsen vanaf een deposito-adres vereist de privésleutel — het geheim dat overboekingen autoriseert.

Bitquery zegt dat de opnames rechtstreeks door de deposito-adressen werden geautoriseerd, wat erop wijst dat de aanvaller toegang had tot hun privésleutels of tot een systeem dat namens hen transacties kon ondertekenen.

"Dat vereist een sleutel voor elk adres, of toegang tot het systeem dat voor hen ondertekent," legden de onderzoekers uit. Ze waarschuwden dat beurzen doorgaans depositosleutels genereren vanuit één enkele mastersleutel, wat betekent dat de aanvaller mogelijk nog steeds toegang heeft tot andere klantadressen.

De omvang van de diefstal wordt ook betwist. Initiële schattingen zetten het bedrag boven $40 miljoen, terwijl de bijgewerkte FAQ van Mercado Bitcoin het getroffen vermogen nu op ongeveer $36,3 miljoen stelt. Bitquery houdt vol dat er $48,6 miljoen werd gestolen op elf blockchains.

De publieke updates van de beurs hebben het gat tussen de insluitingsclaim en de latere overdrachten niet verklaard. Het bedrijf heeft klanten verzekerd dat het gebruikersverliezen met eigen middelen zal dekken. Tot de tegenstrijdige bedragen zijn verrekend, blijft de volledige omvang van wat het heeft toegezegd te dekken echter onzeker.

Bitquery waarschuwt klanten oude deposito-adressen niet te hergebruiken totdat de beurs bevestigt dat ze veilig zijn. Het heropeningsplan van Mercado Bitcoin begint op 9 november met alleen saldokijk; stortingen, opnames en handel hebben momenteel geen herstartdatum. Dat schema laat verschillende open vragen voor klanten die de volgende updates van de beurs volgen: wanneer de toegang van de aanvaller feitelijk is afgesneden, hoe de betwiste totalen worden opgelost, en of oude deposito-adressen worden vrijgegeven voor hergebruik voordat de kernservices terugkeren.