Mercado Bitcoin, jedna z największych giełd kryptowalut w Brazylii, wstrzymała działalność po naruszeniu bezpieczeństwa związanym z około 38 milionami dolarów w aktywach cyfrowych, przy czym 11,2 miliona dolarów zostało już zamrożonych, a śledczy śledzą podejrzane transfery w wielu blockchainach.

Incydent miał miejsce 2 listopada, gdy atakujący mieli przejąć kontrolę nad portfelami powiązanymi z giełdą i przenieść znaczne ilości kryptowalut do nowo utworzonych adresów. Mercado Bitcoin najpierw wstrzymała wpłaty i wypłaty, a następnie tymczasowo wyłączyła platformę, ujawniając incydent w oświadczeniu na X.

Firma podtrzymywała, że aktywa klientów pozostają chronione, a dane osobowe nie zostały ujawnione, choć niezależni badacze blockchain nadal sygnalizowali podejrzane transakcje nawet po ogłoszeniu przez giełdę, że incydent został opanowany.

Atak obejmuje co najmniej 10 blockchainów

Portfele, których dotyczył atak, działały na co najmniej 10 sieciach, w tym Bitcoin, Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain i Stellar. Firma zajmująca się bezpieczeństwem blockchain Hypernative początkowo zidentyfikowała ponad 40 milionów dolarów podejrzanych transferów, przy czym największe ruchy skoncentrowały się w oknie około 34 minut między 06:19 a 06:53 UTC. Taka skala przepływu rozłożona na oddzielne rejesty wymaga od śledczych korelowania aktywności łańcuch po łańcuchu — to jeden z powodów, dla których firmy analityczne mapują nakładające się części odpływów.

Przeniesione aktywa obejmowały około 106 BTC, 2 852 ETH, 10 700 SOL, 6,7 miliona XLM i 77 000 AVAX, a także ponad 200 innych kryptowalut. Transakcje wyglądały na zwykłe transfery portfelowe, a nie wykorzystanie smart kontraktów, co rodzi pytania o to, jak atakujący uzyskali uprawnienia do przenoszenia środków. Ta różnica ma znaczenie techniczne: w przeciwieństwie do exploita smart kontraktu, który wykorzystuje wady kodu on-chain, zwykły transfer może wykonać wyłącznie osoba kontrolująca odpowiednie klucze prywatne lub poświadczenia podpisujące, co czyni kwestię sposobu uzyskania uprawnień do podpisywania centralną dla śledztwa.

Dalsza analiza dotkniętych portfeli, udokumentowana w śledztwie platformy analitycznej on-chain Bitquery, oszacowała łączne odpływy na 48,5 miliona dolarów i wykryła, że po początkowym ogłoszeniu opanowania incydentu przez Mercado Bitcoin opróżniano tysiące adresów depozytowych Ethereum. Ustalenia sugerują, że kompromitacja mogła wyjść poza główne hot wallety giełdy i objąć infrastrukturę kontrolującą indywidualne adresy depozytowe klientów. Giełdy zazwyczaj generują unikalny adres depozytowy dla każdego klienta i polegają na podłączonych do internetu hot walletach przy codziennym przetwarzaniu, więc kontrola obu warstw obejmowałaby znacznie więcej przepływów środków giełdy niż kompromitacja pojedynczego hot walleta. Dokładna metoda ataku i łączny wpływ finansowy pozostają przedmiotem śledztwa.

Mercado Bitcoin następnie oszacowała wartość dotkniętych aktywów na około 38 milionów dolarów, informując jednocześnie o postępach w blokowaniu środków związanych z incydentem. Ta kwota i wyższy szacunek Bitquery nie zostały jeszcze uzgodnione.

Tether i inni emitenci pomagają zamrozić 11,2 miliona dolarów

Giełda koordynowała działania z emitentami stablecoinów i firmami zajmującymi się wywiadem blockchainowym, aby zapobiec dalszemu przepływowi dotkniętych kryptowalut. CEO Tether Paolo Ardoino potwierdził na X, że zamrożono ponad 4,5 miliona USDT powiązanych z incydentem. Mercado Bitcoin później podała około 11,2 miliona dolarów zablokowanych aktywów dzięki współpracy z partnerami, w tym Tether, Circle, Paxos, BRL1 i Chainalysis, szczegółowo opisując tę kwotę w poście na X.

Rosnąca suma odzwierciedla sposób działania zamrożeń emitentów: emitenci stablecoinów, tacy jak Tether, Circle i Paxos, mogą wprowadzać na czarną listę konkretne adresy na poziomie kontraktu tokena, natychmiast blokując transfery znajdujących się tam swoich tokenów. Aktywa natywne, takie jak Bitcoin i Ethereum, nie mają porównywalnej centralnej kontroli, więc ich odzyskanie zależy od śledzenia. Dodatkowe środki zostały uznane za potencjalnie do odzyskania, choć zamrożenie kryptowaluty nie zwraca jej automatycznie giełdzie.

Mercado Bitcoin powiadomiła brazylijskie władze i kontynuuje śledztwo kryminalistyczne, przygotowując się do przywrócenia normalnych usług. Firma nie ogłosiła potwierdzonego harmonogramu wznowienia działalności.

Kontekst sektora: ostatnie głośne ataki

Naruszenie nastąpiło kilka dni po rekordowym hacku Binance na 6,3 miliarda dolarów, który FBI przypisało północnokoreańskiej operacji TraderTraitor. Binance następnie wznowiła wypłaty po uzupełnieniu większości dotkniętych aktywów klientów. 29 października Polymarket padła ofiarą ataku opróżniającego portfele na 2,7 miliona dolarów, związanego z skompromitowaną usługą monitoringu osoby trzeciej. Obecnie brak dowodów łączących incydent Mercado Bitcoin z którymkolwiek z tych ataków, a tożsamość sprawców pozostaje nieznana.

Ochrona klientów i kolejne kroki

Mercado Bitcoin podkreśliła, że klienci nie poniosą strat wynikających z naruszenia. Firma ostrzegła również użytkowników przed oszukańczymi wiadomościami o zwrocie środków, podkreślając, że legalni pracownicy wsparcia nigdy nie będą prosić o hasła, kody weryfikacyjne ani frazy odzyskiwania portfela.

Bieżącymi priorytetami giełdy pozostają odzyskanie dotkniętych aktywów, ustalenie przyczyny awarii bezpieczeństwa i przywrócenie działalności bez narażania środków klientów na dalsze ryzyko. Potwierdzony harmonogram wznowienia działalności, ustalenia śledztwa dotyczące sposobu uzyskania autoryzacji portfeli oraz ewentualny wzrost sumy zamrożonych 11,2 miliona dolarów to kluczowe punkty do obserwowania, gdy akcja reagowania będzie się rozwijać.