Atakujący opróżniał adresy depozytowe powiązane z Mercado Bitcoin przez prawie cztery godziny po tym, jak brazylijska giełda ogłosiła opanowanie naruszenia bezpieczeństwa — wynika z nowych badań blockchaina.

Zaktualizowana analiza firmy analitycznej Bitquery śledzi ponad 48 milionów dolarów skradzionych aktywów w 11 sieciach blockchain, określając łączną kwotę na 48,6 miliona dolarów — powyżej najnowszego szacunku Mercado Bitcoin wynoszącego około 36,3 miliona dolarów. Jej ustalenia podważają twierdzenie giełdy, że szybko powstrzymała atak.

Giełda ogłosiła o 9:56 czasu brazylijskiego 2 listopada, że szybko opanowała incydent. Dane Bitquery pokazują, że 36 042 adresów depozytowych klientów Ethereum zostało opróżnionych między 9:27 a 13:56 czasu brazylijskiego — co oznacza, że transfery rozpoczęły się około pół godziny przed oświadczeniem i trwały przez prawie cztery godziny po nim.

Te adresy przechowywały około 266 000 dolarów, niewielką część całej kradzieży. Mimo to atakujący był w stanie przenieść środki długo po tym, jak giełda oświadczyła, że naruszenie jest pod kontrolą.

Adres depozytowy klienta działa w dużej mierze jak osobiste konto odbiorcze dla kryptowalut. Giełda później gromadzi te monety we wspólnym portfelu online, zwanym portfelem gorącym, aby przetwarzać codzienne transakcje. Przeniesienie środków z adresu depozytowego wymaga jego klucza prywatnego — tajemnicy autoryzującej transfery.

Według Bitquery wypłaty były autoryzowane bezpośrednio przez adresy depozytowe, co sugeruje, że atakujący miał dostęp do ich kluczy prywatnych lub do systemu zdolnego do podpisywania transakcji w ich imieniu.

"To wymaga klucza do każdego adresu albo dostępu do systemu, który podpisuje za nie" — wyjaśnili badacze. Ostrzegli, że giełdy zazwyczaj generują klucze depozytowe z jednego klucza głównego, co oznacza, że atakujący może nadal mieć dostęp do innych adresów klientów.

Skala kradzieży jest również kwestionowana. Wstępne szacunki określały kwotę na ponad 40 milionów dolarów, podczas gdy zaktualizowane FAQ Mercado Bitcoin podaje obecnie wartość dotkniętych aktywów na około 36,3 miliona dolarów. Bitquery utrzymuje, że ukradziono 48,6 miliona dolarów w 11 sieciach blockchain.

Publiczne aktualizacje giełdy nie wyjaśniły rozbieżności między twierdzeniem o opanowaniu incydentu a późniejszymi transferami. Firma zapewniła klientów, że pokryje straty użytkowników z własnych środków. Dopóki jednak konkurujące wyliczenia nie zostaną uzgodnione, pełen zakres tego, co firma zobowiązała się pokryć, pozostaje nieustalony.

Bitquery ostrzega klientów, aby nie ponownie używali starych adresów depozytowych, dopóki giełda nie potwierdzi, że są bezpieczne. Plan wznowienia działalności Mercado Bitcoin rozpoczyna się 9 listopada z możliwością tylko przeglądania sald; wpłaty, wypłaty i handel nie mają obecnie określonej daty wznowienia. Ten harmonogram pozostawia kilka otwartych pytań dla klientów śledzących kolejne aktualizacje giełdy: kiedy faktycznie odcięto dostęp atakującego, jak rozbieżne kwoty zostaną rozwiązane oraz czy stare adresy depozytowe zostaną uznane za bezpieczne do ponownego użycia przed powrotem podstawowych usług.