Bulletin
- Bitquery affirme qu'après l'annonce de Mercado Bitcoin ayant maîtrisé l'incident de sécurité, les attaquants ont continué à transférer des fonds depuis 36 042 adresses de dépôts d'Ethereum pendant près de quatre heures.
- Les chercheurs ont traqué 48,6 millions de dollars d'actifs sur 11 réseaux, dépassant la dernière estimation de l'échange de 36,3 millions de dollars.
- Mercado Bitcoin prévoit de réactiver la fonction d'affichage des comptes le 9 novembre, mais les retraits et les transactions resteront suspendus au début.
Une nouvelle étude sur la chaîne montre que, même après que l'échange brésilien Mercado Bitcoin ait déclaré avoir contenu une faille de sécurité, les attaquants ont continué à transférer des fonds depuis des adresses de dépôt associées à cet échange, pendant près de quatre heures.
L'analyse mise à jour jeudi par Bitquery montre que les actifs volés sur 11 chaînes de blocs s'élèvent à plus de 48 millions de dollars, ce qui remet en question l'affirmation de l'échange selon laquelle il a rapidement stoppé l'attaque.
Cette bourse de Bitcoin a annoncé à 9h56, heure du Brésil, le 2 novembre, avoir rapidement maîtrisé l'événement. Selon Bitquery, entre 9h27 et 13h56, heure du Brésil, 36 042 adresses de dépôts d'utilisateurs Ethereum ont été vidées.
Ces adresses contiennent environ 266 000 USD, soit une petite partie des pertes totales. Toutefois, après la publication de l'annonce de l'échange, l'attaquant peut toujours transférer ces fonds.
L'adresse de dépôt des clients fonctionne comme un compte de réception personnel pour les cryptomonnaies. L'échange regroupe ensuite ces cryptomonnaies dans un portefeuille en ligne partagé, appelé portefeuille chaud, utilisé pour gérer les transactions quotidiennes. Le transfert de fonds depuis l'adresse de dépôt nécessite sa clé privée, soit le secret autorisant les transferts.
Bitquery indique que ces retraits ont été directement autorisés par les adresses de dépôt, ce qui signifie que l'attaquant a probablement obtenu les clés privées de ces adresses ou des permissions système permettant de signer des transactions en leur nom.
Les chercheurs expliquent : « Cela nécessite que chaque adresse dispose d'une clé, ou qu'un système permette de signer pour ces adresses. » Ils avertissent que les échanges génèrent généralement des clés de dépôt à partir d'une clé principale, ce qui signifie qu'un attaquant pourrait toujours accéder à d'autres adresses clients.
Le montant volé fait également l'objet de controverses. Les estimations initiales indiquaient une perte supérieure à 40 millions de dollars, tandis que la dernière page FAQ de Mercado Bitcoin évalue les actifs affectés à environ 36,3 millions de dollars. Bitquery estime que le montant volé à travers 11 chaînes de blocs s'élève à 48,6 millions de dollars.
Les mises à jour publiques de Mercado Bitcoin n'expliquent pas l'écart entre leur déclaration selon laquelle « le problème a été maîtrisé » et les virements ultérieurs. L'entreprise a assuré ses clients qu'elle couvrirait les pertes des utilisateurs avec ses propres fonds.
Bitquery avertit ses clients de ne pas réutiliser les anciennes adresses de dépôt avant que l'échange ne confirme leur sécurité. Le plan de reprise de Mercado Bitcoin commencera le 9 novembre, avec uniquement l'accès aux soldes ; aucune date de reprise des dépôts, retraits et transactions n'a encore été annoncée.