Злоумышленник опустошал связанные с Mercado Bitcoin адреса депозитов почти четыре часа после того, как бразильская биржа объявила об устранении инцидента безопасности, согласно новым блокчейн-исследованиям.

Обновленный анализ блокчейн-аналитической компании Bitquery отслеживает украденные активы на сумму более 48 млн долларов в 11 блокчейнах, оценивая общий объем в 48,6 млн долларов — это выше последней оценки Mercado Bitcoin примерно в 36,3 млн долларов. Эти выводы ставят под сомнение заявление биржи о том, что атака была быстро остановлена.

Биржа объявила в 9:56 по бразильскому времени 2 ноября, что быстро локализовала инцидент. Данные Bitquery показывают, что 36 042 Ethereum-адреса депозитов клиентов были опустошены между 9:27 и 13:56 по бразильскому времени — то есть переводы начались примерно за полчаса до заявления и продолжались почти четыре часа после него.

На этих адресах хранилось около 266 000 долларов — небольшая доля от общего объема кражи. Тем не менее злоумышленник смог перевести эти средства спустя значительное время после того, как биржа заявила, что взлом находится под контролем.

Адрес депозита клиента во многом похож на личный адрес для получения криптовалюты. Позднее биржа собирает эти монеты в общий онлайн-кошелек, известный как горячий кошелек, для обработки повседневных транзакций. Перевод средств с адреса депозита требует его приватного ключа — секрета, авторизующего переводы.

По данным Bitquery, выводы были авторизованы непосредственно адресами депозитов, что указывает на то, что злоумышленник имел доступ к их приватным ключам или к системе, способной подписывать транзакции от их имени.

"Для этого нужен ключ для каждого адреса или доступ к системе, которая подписывает транзакции за них," — пояснили исследователи. Они предупредили, что биржи обычно генерируют ключи депозитов из единого мастер-ключа, а значит злоумышленник все еще может получить доступ к другим адресам клиентов.

Размер кражи также оспаривается. Первоначальные оценки превышали 40 млн долларов, в то время как обновленный FAQ Mercado Bitcoin теперь оценивает затронутые активы примерно в 36,3 млн долларов. Bitquery настаивает на том, что было украдено 48,6 млн долларов в 11 блокчейнах.

Публичные обновления биржи не объясняют расхождение между заявлением об устранении угрозы и последующими переводами. Компания заверила клиентов, что покроет потери пользователей собственными средствами. Однако до согласования противоречащих друг другу подсчетов полный объем обязательств остается неопределенным.

Bitquery предупреждает клиентов не использовать повторно старые адреса депозитов, пока биржа не подтвердит их безопасность. План восстановления работы Mercado Bitcoin начинается 9 ноября только с возможностью просмотра баланса; для депозитов, выводов средств и торговли дата возобновления пока не назначена. Такой график оставляет ряд открытых вопросов для клиентов, следящих за обновлениями биржи: когда фактически был прекращен доступ злоумышленника, как будут разрешены спорные суммы и будут ли старые адреса депозитов признаны безопасными для повторного использования до восстановления основных сервисов.