根據最新的區塊鏈研究,在這家巴西交易所宣布已控制安全漏洞後,駭客仍持續清空與 Mercado Bitcoin 相關的充值地址近四小時。

區塊鏈分析公司 Bitquery 的最新分析追蹤到被竊資產超過 4,800 萬美元,分布在 11 條區塊鏈上,總額達 4,860 萬美元——高於 Mercado Bitcoin 最新的約 3,630 萬美元估計。此一發現挑戰了交易所迅速制止攻擊的說法。

該交易所於 11 月 2 日巴西時間上午 9 時 56 分宣布已迅速控制事件。Bitquery 的數據顯示,36,042 個 Ethereum 客戶充值地址在巴西時間上午 9 時 27 分至下午 1 時 56 分之間被清空——意味著轉帳比宣布早約半小時開始,並在其後持續近四小時。

這些地址持有約 26.6 萬美元,僅佔總失竊金額的一小部分。即便如此,駭客仍能在交易所表示漏洞已受控之後很長時間內轉移這些資金。

客戶充值地址的運作方式類似於個人的加密貨幣收款帳戶。交易所隨後將這些幣集中到一個共享的線上錢包(稱為熱錢包)中以處理日常交易。從充值地址轉出資金需要其私鑰——即授權轉帳的密鑰。

Bitquery 表示,這些提款由充值地址直接授權,顯示駭客取得了這些地址的私鑰,或取得了一個能代表這些地址簽署交易的系統。

研究人員解釋:「這需要每個地址的金鑰,或者能進入為它們簽署交易的系統。」他們警告,交易所通常從單一主金鑰生成充值金鑰,意味著駭客可能仍能存取其他客戶地址。

失竊金額同樣存在爭議。最初估計金額超過 4,000 萬美元,而 Mercado Bitcoin 更新的 FAQ 則將受影響資產定為約 3,630 萬美元。Bitquery 堅持在 11 條區塊鏈上被竊金額為 4,860 萬美元。

交易所的公開更新並未解釋其「已控制」說法與後續轉帳之間的落差。該公司已向客戶保證將以自有資金賠償用戶損失。不過,在各方統計數字達成一致之前,其承諾賠償的完整範圍仍未確定。

Bitquery 警告客戶在交易所確認舊充值地址安全之前,不要重複使用這些地址。Mercado Bitcoin 的重新開放計劃自 11 月 9 日開始,但僅限查看餘額;充值、提款和交易目前尚無恢復日期。這一時間表為關注交易所後續更新的客戶留下了幾個未解的問題:駭客的存取權限實際於何時被切斷、有爭議的總額將如何釐清,以及在核心服務恢復之前,舊充值地址是否會被確認可安全重用。