Хакер выводил активы Mercado Bitcoin четыре часа после заявления о локализации взлома

Злоумышленник продолжал выводить криптовалюту с депозитных адресов крупнейшей бразильской биржи Mercado Bitcoin примерно четыре часа после того, как компания объявила о локализации взлома. Об этом сообщили аналитики Bitquery, которые изучили движение средств в блокчейне.

По их данным, биржа взяла инцидент под контроль 2 ноября в 12:56 UTC. Однако с 12:27 до 16:56 UTC с 36 042 депозитных адресов пользователей в сети Ethereum ушли активы примерно на $266 000. Похожие переводы зафиксированы в сетях BNB Chain и Base. В BNB Chain средства поступали злоумышленнику до 18:08 UTC, то есть более чем через пять часов после официального заявления. Один из кошельков к этому времени перевёл ему $124 000.

Оценки ущерба расходятся

Bitquery оценила весь ущерб в $48,6 млн. Похищенные средства приходятся на кошельки биржи в 11 блокчейнах, включая Ethereum, биткоин, Solana, Tron и Polygon. Mercado Bitcoin оценивает ущерб в $36,3 млн. Аналитики пересчитывали стоимость на момент каждого перевода. Часть токенов при этом почти не торгуется: без малоликвидного токена EVA в сети Arbitrum сумма составит $47,4 млн.

Почему под вопросом ключи

Исследователи обратили внимание на способ вывода. Обычно средства уходят из горячих кошельков биржи, но здесь операции шли напрямую с адресов, которые служат для пополнения клиентских счетов. Каждая транзакция подписана соответствующим адресом. Специалисты считают, что злоумышленник мог получить приватные ключи или доступ к внутренней системе, которая подписывает операции от их имени.

Bitquery также допускает, что все депозитные адреса могли быть созданы из одного мастер-ключа. Тогда под угрозой могут оказаться и другие кошельки, даже если на момент атаки они были пустыми. Аналитики рекомендовали пользователям не отправлять средства на прежние депозитные адреса, пока биржа не подтвердит их безопасность. Точный способ проникновения пока не установлен: данные блокчейна показали движение активов, но не доказали компрометацию конкретной системы управления ключами.

Что заморожено и что осталось у злоумышленника

По анализу Bitquery, эмитенты стейблкоинов заблокировали около $11,8 млн. В этом участвовали Tether, Circle, Paxos, Agora и Ripple. Больше всего заморожено USDT и USDC. Разработчики Synthetix также изъяли с адреса злоумышленника токены SNX примерно на $76 000.

С 3 по 4 ноября атакующий через сервис обмена MetaMask конвертировал другие активы в ETH на сумму около $11,9 млн. На момент последней проверки на связанных адресах в сети Ethereum оставалось 8678 ETH стоимостью около $20,1 млн. Ещё 106,07 BTC не двигались.

По данным Mercado Bitcoin, вместе с отраслевыми партнёрами удалось заблокировать более $15 млн. Среди них есть компании, стоящие за заморозками стейблкоинов, а также аналитические фирмы, включая Chainalysis. Биржа заявила, что продолжит отслеживать остальные средства вместе с правоохранительными органами.

Когда откроется биржа

Возобновление работы запланировано на 9 ноября. На первом этапе пользователям откроют доступ к сайту, чтобы смотреть балансы, историю операций и инвестиции. Биржа также сообщила, что компенсирует клиентам затронутые активы за счёт собственных средств.

Переводы, вывод средств и торговлю восстановят позже, после дополнительных проверок безопасности. Сроки биржа пока не назвала. Mercado Bitcoin также не объяснила публично переводы, которые Bitquery зафиксировала уже после объявления о локализации атаки.