نبذة سريعة
- وفقًا لـ Bitquery، استمر المهاجمون في نقل الأموال من عناوين إيداع الإيثيريوم البالغ عددها 36,042 خلال ما يقرب من أربع ساعات بعد إعلان Mercado Bitcoin أنهم قاموا بالسيطرة على الحادث الأمني.
- تعقب الباحثون أصولًا بقيمة 48.6 مليون دولار عبر 11 شبكة، وهي تتجاوز تقديرات البورصة الأخيرة البالغة 36.3 مليون دولار.
- يخطط ميركادو بيتوكين لاستئناف وظيفة عرض الحسابات في 9 نوفمبر، لكن السحوبات والمعاملات ستظل معلقة في البداية.
أظهر بحث جديد على السلسلة أنه بعد أن أفادت بورصة البرازيل ميركادو بيتكوين بأنها احتوت ثغرة أمنية، استمر المهاجمون في تحويل الأموال من عناوين إيداع مرتبطة بالبورصة، لمدة تقارب أربع ساعات.
أظهرت التحليلات التي قام بها Bitquery في اليوم الخميس أن إجمالي الأصول المسروقة عبر 11 سلسلة بلغ أكثر من 48 مليون دولار أمريكي، وهو ما يتحدى ادعاءات البورصة بأنها منعت الهجوم بسرعة.
أعلنت هذه البورصة البيتكوين في 2 نوفمبر، الساعة 9:56 صباحًا بالتوقيت البرازيلي، أنها سيطرت بسرعة على الحدث. ووفقًا لـ Bitquery، تم تفريغ 36,042 عنوان إيداع عملاء إيثريوم بين الساعة 9:27 صباحًا و1:56 مساءً بالتوقيت البرازيلي.
تحتوي هذه العناوين على حوالي 266,000 دولار أمريكي، وهو ما يمثل جزءًا صغيرًا فقط من الخسارة الإجمالية. لكن بعد إصدار الإعلان من البورصة، لا يزال المهاجمون قادرين على نقل هذه الأموال.
يعمل عنوان إيداع العميل مثل حساب استلام شخصي للعملات المشفرة. بعد ذلك، تجمع البورصة هذه العملات في محفظة إلكترونية مشتركة، تُعرف بالمحفظة الساخنة، لمعالجة المعاملات اليومية. يتطلب نقل الأموال من عنوان الإيداع مفتاحها الخاص، وهو الوثيقة السرية التي تُصرح بالتحويل.
أشار Bitquery إلى أن هذه السحوبات تم تفويضها مباشرة من عناوين الإيداع، مما يعني أن المهاجم قد حصل على المفاتيح الخاصة لهذه العناوين، أو على صلاحيات نظام تسمح له بالتوقيع عن هذه العناوين.
شرح الباحثون: "هذا يتطلب أن يكون لكل عنوان مفتاح خاص، أو إمكانية الوصول إلى النظام الذي يوقّع على هذه العناوين." وحذروا من أن البورصات عادةً ما تولد مفاتيح الإيداع من مفتاح رئيسي واحد، مما يعني أن المهاجمين قد يظل لديهم إمكانية الوصول إلى عناوين عملاء آخرين.
كما أن مبلغ السرقة موضع جدل. أظهرت التقديرات الأولية خسارة تزيد عن 40 مليون دولار أمريكي، بينما حددت صفحة الأسئلة الشائعة الأحدث لـ Mercado Bitcoin الأصول المتأثرة بحوالي 36.3 مليون دولار أمريكي. وتقدر Bitquery أن المبلغ المسروق عبر 11 سلسلة كتل هو 48.6 مليون دولار أمريكي.
لم يفسّر التحديث العام من Mercado Bitcoin الفجوة بين ادّعائه "أنه تم احتواء الأمر" والتحويلات اللاحقة. وعَهَدت الشركة لعملائها بأنها ستغطي خسائر المستخدمين بأموالها الخاصة.
حذرت Bitquery العملاء من عدم إعادة استخدام عناوين الإيداع القديمة قبل تأكيد البورصة لأمانها. سيبدأ خطة استعادة Mercado Bitcoin في 9 نوفمبر، وستكون مفتوحة فقط لعرض الأرصدة؛ لا توجد تواريخ محددة لإعادة تشغيل الإيداعات أو السحوبات أو التداولات.