Notícia rápida
- Bitquery afirma que, após o Mercado Bitcoin anunciar que contivera o incidente de segurança, os atacantes ainda transferiram fundos de 36.042 endereços de depósito de Ethereum nas quase quatro horas seguintes.
- Pesquisadores rastrearam US$ 48,6 milhões em ativos através de 11 redes, superando a estimativa mais recente da exchange de US$ 36,3 milhões.
- O Mercado Bitcoin planeja reabrir a funcionalidade de visualização de contas em 9 de novembro, mas saques e negociações permanecerão suspensos inicialmente.
Nova pesquisa on-chain mostra que, mesmo após a exchange brasileira Mercado Bitcoin afirmar ter contido uma vulnerabilidade de segurança, os atacantes continuaram a transferir fundos de endereços de depósito associados à exchange por cerca de quatro horas.
A análise atualizada na quinta-feira pelo Bitquery mostra que o valor total dos ativos roubados em 11 blockchains ultrapassou US$ 48 milhões, desafiando a afirmação da exchange de que ela impediu rapidamente o ataque.
Esta exchange de Bitcoin anunciou às 9:56 do horário brasileiro em 2 de novembro que contornou rapidamente o incidente. Segundo o Bitquery, entre 9:27 e 13:56 do horário brasileiro, 36.042 endereços de depósito de Ethereum foram esvaziados.
Esses endereços contêm aproximadamente US$ 266.000, representando apenas uma pequena parte do total perdido. No entanto, após o anúncio da exchange, o atacante ainda pode continuar a transferir esses fundos.
O endereço de depósito do cliente funciona como uma conta de recebimento pessoal para criptomoedas. A exchange, em seguida, reúne essas moedas em uma carteira online compartilhada, conhecida como hot wallet, usada para processar transações diárias. A transferência de fundos a partir do endereço de depósito requer sua chave privada, que é o credential secreto autorizando a transação.
Bitquery afirma que esses saques foram autorizados diretamente pelos endereços de depósito, o que significa que o atacante pode ter obtido as chaves privadas desses endereços ou permissões do sistema para assinar transações em nome desses endereços.
Os pesquisadores explicaram: “Isso exige que cada endereço tenha uma chave própria ou acesso ao sistema que assina esses endereços.” Eles alertaram que as exchanges geralmente geram chaves de depósito a partir de uma chave principal, o que significa que um atacante ainda pode acessar outros endereços de clientes.
O valor roubado também é controverso. As estimativas iniciais indicaram perdas superiores a US$ 40 milhões, enquanto a página de perguntas frequentes mais recente do Mercado Bitcoin fixa os ativos afetados em cerca de US$ 36,3 milhões. O Bitquery estima que o valor roubado, distribuído em 11 blockchains, foi de US$ 48,6 milhões.
A atualização pública do Mercado Bitcoin não explicou a discrepância entre sua afirmação de que "o incidente foi contido" e as transferências subsequentes. A empresa garantiu aos clientes que cobrirá os prejuízos dos usuários com seus próprios fundos.
Bitquery alerta clientes para não reutilizarem esses endereços de depósito antigos até que a exchange confirme sua segurança. O plano de recuperação do Mercado Bitcoin começará em 9 de novembro, com acesso apenas para visualização de saldos; não há data prevista para a reinicialização de depósitos, saques e negociações.