Сповіщення
- Bitquery повідомляє, що після оголошення Mercado Bitcoin про припинення безпекової події, нападники продовжували переказувати кошти з 36 042 адрес з ефірними депозитами протягом майже чотирьох годин.
- Дослідники відстежили 48,6 мільйона доларів США активів, що розподілені по 11 мережах, що перевищує останню оцінку біржі в 36,3 мільйона доларів США.
- Mercado Bitcoin планує відновити функцію перегляду облікових записів 9 листопада, але вивід коштів та торгівля спочатку залишаться призупиненими.
Нове дослідження ланцюга показує, що після того, як бразильська криптовалютна біржа Mercado Bitcoin повідомила про виправлення безпекової вразливості, зловмисники продовжували виводити кошти з депозитних адрес, пов’язаних із цією біржею, протягом майже чотирьох годин.
Аналіз Bitquery, оновлений у четвер, показує, що загальна сума вкрадених активів через 11 блокчейнів перевищує 48 мільйонів доларів США, що ставить під сумнів твердження біржі про швидке припинення атаки.
Ця біткоїн-біржа оголосила 2 листопада о 9:56 за бразильським часом, що швидко взяла під контроль цю подію. За даними Bitquery, між 9:27 та 13:56 за бразильським часом було опорожнено 36 042 адреси клієнтських депозитів Ethereum.
Ці адреси містять приблизно 266 000 доларів США, що становить лише невелику частину загальних втрат. Однак після оголошення біржі зловмисник може продовжувати переміщувати ці кошти.
Адреса для депозитів клієнтів працює подібно до особистого рахунку для отримання криптовалют. Після цього обмін збирає ці монети в спільний онлайн-гаманець, відомий як гарячий гаманець, для обробки щоденних транзакцій. Для переказу коштів з адреси депозиту необхідний приватний ключ — таємний сертифікат, що надає право на здійснення переказу.
Bitquery зазначає, що ці виводи були авторизовані безпосередньо з адрес депозитів, що означає, що атакувач, ймовірно, отримав доступ до приватних ключів цих адрес або отримав системні дозволи, що дозволяють підписувати транзакції від імені цих адрес.
Дослідники пояснюють: «Це вимагає, щоб кожна адреса мала власний ключ або мала доступ до системи, яка підписує ці адреси». Вони попереджають, що біржі зазвичай генерують ключі для депозитів з одного головного ключа, що означає, що зловмисник може все ще мати доступ до інших клієнтських адрес.
Сума вкрадених коштів також підлягає спірі. Початкові оцінки вказували на збитки, що перевищують 40 мільйонів доларів США, тоді як остання сторінка часто задаваних питань Mercado Bitcoin визначає вплинутий актив у розмірі приблизно 36,3 мільйона доларів США. Bitquery оцінює суму, вкрадену через 11 блокчейнів, у 48,6 мільйона доларів США.
Публічне оновлення Mercado Bitcoin не пояснює розбіжність між твердженням про «припинення» та наступними переказами. Компанія забезпечила клієнтів, що втрати користувачів будуть покриті власними коштами.
Bitquery попереджає клієнтів не використовувати повторно ці старі адреси для депозитів, доки біржа не підтвердить їх безпеку. Відновлення Mercado Bitcoin розпочнеться 9 листопада, і на початку буде доступна лише перевірка балансу; дати відновлення депозитів, виведення та торгівлі ще не визначені.