Pesan ringkas
- Bitquery menyatakan bahawa selepas Mercado Bitcoin mengumumkan bahawa insiden keselamatan telah dikawal, penyerang masih memindahkan dana daripada 36,042 alamat simpanan Ethereum dalam tempoh hampir empat jam.
- Penyelidik melacak aset sebanyak $48.6 juta yang tersebar di 11 rangkaian, melebihi anggaran terkini pertukaran sebanyak $36.3 juta.
- Mercado Bitcoin merancang untuk membuka semula fungsi pemeriksaan akaun pada 9 November, tetapi penarikan dan perdagangan akan terus dihentikan pada awalnya.
Penyelidikan atas rantai baru menunjukkan bahawa penyerang terus memindahkan dana daripada alamat deposit yang berkaitan dengan pertukaran Brazil Mercado Bitcoin, walaupun pertukaran itu menyatakan telah mengawal satu lubang keselamatan, selama hampir empat jam.
Analisis yang dikemaskini oleh Bitquery pada hari Khamis menunjukkan bahawa jumlah aset yang dicuri melintasi 11 blokchain melebihi $48 juta, hasil yang menentang pernyataan pertukaran bahawa ia menghentikan serangan itu dengan cepat.
Bursa Bitcoin ini mengumumkan pada pukul 9:56 pagi waktu Brasil pada 2 November bahawa insiden tersebut telah segera dikawal. Menurut Bitquery, sebanyak 36,042 alamat setoran pelanggan Ethereum telah dikosongkan antara pukul 9:27 pagi hingga 1:56 petang waktu Brasil.
Alamat-alamat ini mengandungi sekitar US$266,000, yang hanya merupakan sebahagian kecil daripada jumlah kerugian. Namun, selepas pertukaran mengumumkan kenyataan, penyerang masih boleh meneruskan pemindahan dana tersebut.
Alamat deposit pelanggan berfungsi seperti akaun penerima peribadi untuk kripto. Pertukaran kemudian akan mengumpulkan koin-koin ini ke dalam satu dompet dalam talian bersama, dikenali sebagai dompet panas, untuk menangani transaksi harian. Pemindahan dana dari alamat deposit memerlukan kunci peribadi, iaitu bukti rahsia yang mengesahkan transaksi.
Bitquery menyatakan bahawa penarikan ini diotorisasi secara langsung daripada alamat setoran, bermakna penyerang mungkin telah memperoleh kunci peribadi alamat-alamat tersebut, atau memperoleh kebenaran sistem yang mampu menandatangani transaksi atas nama alamat-alamat tersebut.
Penyelidik menjelaskan: “Ini memerlukan setiap alamat mempunyai kunci sendiri, atau akses kepada sistem yang menandatangani alamat-alamat tersebut.” Mereka memperingatkan bahawa pertukaran biasanya menghasilkan kunci deposit daripada satu kunci utama, bermakna penyerang masih mungkin dapat mengakses alamat pelanggan lain.
Jumlah yang dicuri juga dipertikaikan. Anggaran awal menunjukkan kerugian melebihi $40 juta, manakala halaman FAQ terkini Mercado Bitcoin menetapkan aset yang terkesan pada sekitar $36.3 juta. Bitquery menganggarkan jumlah yang dicuri merentas 11 blokchain sebagai $48.6 juta.
Pembaruan terbuka Mercado Bitcoin tidak menjelaskan jurang antara pernyataan "telah dikendalikan" dengan pemindahan seterusnya. Syarikat tersebut menjamin pelanggan bahawa kerugian pengguna akan ditutupi dengan dana sendiri.
Bitquery memperingatkan pelanggan agar tidak menggunakan semula alamat deposit lama sebelum pertukaran mengesahkan keselamatannya. Rancangan pemulihan Mercado Bitcoin akan bermula pada 9 November, hanya membuka akses untuk melihat balans; deposit, penarikan, dan perdagangan belum mempunyai tarikh pemulihan.