最新的区块链研究显示，在巴西交易所 Mercado Bitcoin 宣布已控制安全事件后，与其关联的充值地址仍在近四个小时内持续被盗取资金。

区块链分析公司 Bitquery 的最新分析追踪到分布在 11 条区块链上超过 4800 万美元的被盗资产，总额达 4860 万美元——高于 Mercado Bitcoin 最新的约 3630 万美元估算。这一结果对该交易所迅速阻止攻击的说法提出质疑。

该交易所于 11 月 2 日巴西时间上午 9:56 宣布已迅速控制了该事件。Bitquery 的数据显示，36,042 个以太坊客户充值地址在巴西时间上午 9:27 至下午 1:56 之间被清空——这意味着转账在公告发布前约半小时就已开始，并在公告之后持续了近四个小时。

这些地址中持有约 26.6 万美元，仅占总被盗金额的一小部分。即便如此，攻击者仍能在该交易所表示事件已受控之后转移这些资金。

客户充值地址的作用类似于加密货币的个人收款账户。交易所随后将这些代币汇集到一个共享的在线钱包（称为热钱包）中，以处理日常交易。从充值地址转移资金需要其私钥——即授权转账的密钥。

Bitquery 表示，这些提款由充值地址直接授权，表明攻击者获得了这些地址的私钥，或拥有能够代表它们签署交易的系统权限。

研究人员解释称：“这需要每个地址都有对应的密钥，或者能够进入为它们签署交易的系统。”他们警告说，交易所通常从单一主密钥生成充值密钥，这意味着攻击者可能仍能访问其他客户地址。

被盗金额也存在争议。初步估计金额超过 4000 万美元，而 Mercado Bitcoin 更新的 FAQ 目前将受影响资产定为约 3630 万美元。Bitquery 坚持认为共有 4860 万美元在 11 条区块链上被盗。

该交易所的公开更新并未解释其“已控制”的说法与后续转账之间的差距。该公司已向客户保证将以自有资金弥补用户损失。不过，在各不相符的统计数字得到核实之前，其承诺弥补的范围仍未确定。

Bitquery 警告客户，在该交易所确认旧充值地址安全之前，不要重复使用它们。Mercado Bitcoin 的恢复计划从 11 月 9 日开始，届时仅开放余额查看功能；充值、提现和交易目前尚无恢复日期。这一安排给关注该交易所后续更新的客户留下了几个悬而未决的问题：攻击者的访问权限究竟何时被切断、存在争议的金额将如何解决，以及在核心服务恢复之前，旧充值地址是否会被确认可以安全使用。