Краткие новости
- Bitquery сообщает, что после объявления Mercado Bitcoin о том, что инцидент безопасности был сдержанный, злоумышленники продолжали переводить средства из 36 042 адресов депозитов Ethereum в течение почти четырех часов.
- Исследователи отследили 48,6 миллиона долларов США в активах, распределенных по 11 сетям, что превышает последнюю оценку биржи в 36,3 миллиона долларов США.
- Mercado Bitcoin планирует возобновить функцию просмотра счетов 9 ноября, но вывод средств и торговля в начальный период останутся приостановлены.
Новое исследование в цепочке показывает, что после того, как бразильская криптовалютная биржа Mercado Bitcoin заявила, что устранила уязвимость в безопасности, злоумышленники продолжали переводить средства из связанных с биржей депозитных адресов в течение почти четырех часов.
Анализ, обновленный Bitquery в четверг, показал, что общая сумма активов, похищенных через 11 блокчейнов, превысила 48 миллионов долларов США, что ставит под сомнение утверждение биржи о том, что она быстро остановила атаку.
Эта биткоин-биржа объявила 2 ноября в 9:56 по бразильскому времени, что инцидент был быстро устранен. По данным Bitquery, между 9:27 и 13:56 по бразильскому времени было опустошено 36 042 адреса клиентских депозитов Ethereum.
На этих адресах находится примерно 266 000 долларов США, что составляет лишь небольшую часть общих потерь. Однако после объявления биржи злоумышленник может продолжить переводить эти средства.
Адреса для пополнения клиентов работают аналогично личным счетам для получения криптовалюты. Затем биржа объединяет эти монеты в общий онлайн-кошелек, известный как горячий кошелек, для обработки повседневных транзакций. Для перевода средств с адреса пополнения требуется его приватный ключ — секретный ключ, авторизующий перевод.
Bitquery отмечает, что эти выводы были авторизованы напрямую с адресов депозитов, что означает, что злоумышленник мог получить приватные ключи этих адресов или системные права, позволяющие подписывать транзакции от их имени.
Исследователи объяснили: «Это требует, чтобы у каждого адреса был свой ключ или доступ к системе, которая подписывает эти адреса». Они предупредили, что биржи обычно генерируют ключи для депозитов из одного главного ключа, что означает, что злоумышленник все еще может получить доступ к другим клиентским адресам.
Сумма украденных средств также вызывает споры. Первоначальные оценки указывали на потери более 40 миллионов долларов США, тогда как последняя страница часто задаваемых вопросов Mercado Bitcoin указывает на затронутые активы в размере около 36,3 миллиона долларов США. Bitquery оценивает сумму, украденную через 11 блокчейнов, в 48,6 миллиона долларов США.
Открытые обновления Mercado Bitcoin не объясняют разрыв между утверждением о «контроле» и последующими переводами. Компания заверила клиентов, что потери пользователей будут покрыты за счет собственных средств.
Bitquery предупреждает клиентов не повторно использовать старые адреса пополнения до подтверждения их безопасности биржей. Восстановительный план Mercado Bitcoin начнется 9 ноября, пока доступна только возможность просмотра баланса; даты возобновления пополнений, выводов и торговли еще не определены.