Brief news
- Bitquery cho biết, sau khi Mercado Bitcoin tuyên bố đã kiểm soát sự cố bảo mật, kẻ tấn công vẫn tiếp tục chuyển tiền từ 36.042 địa chỉ gửi ether trong gần bốn giờ.
- Các nhà nghiên cứu đã theo dõi được 48,6 triệu USD tài sản trải rộng trên 11 mạng lưới, vượt quá ước tính mới nhất của sàn giao dịch là 36,3 triệu USD.
- Mercado Bitcoin dự kiến mở lại tính năng xem tài khoản vào ngày 9 tháng 11, nhưng việc rút tiền và giao dịch sẽ vẫn bị tạm dừng trong giai đoạn đầu.
Nghiên cứu trên chuỗi mới cho thấy, sau khi sàn giao dịch Brazil Mercado Bitcoin tuyên bố đã kiểm soát một lỗ hổng bảo mật, kẻ tấn công vẫn tiếp tục chuyển tiền từ các địa chỉ gửi liên quan đến sàn giao dịch này trong khoảng bốn giờ.
Phân tích được cập nhật vào thứ Năm của Bitquery cho thấy tổng tài sản bị đánh cắp trên 11 chuỗi khối vượt quá 48 triệu USD, điều này thách thức tuyên bố của sàn giao dịch rằng họ đã ngăn chặn kịp thời cuộc tấn công.
Sàn giao dịch Bitcoin này tuyên bố vào lúc 9:56 sáng giờ Brazil ngày 2 tháng 11 rằng đã nhanh chóng kiểm soát được sự việc. Bitquery cho biết, từ 9:27 sáng đến 1:56 chiều giờ Brazil, tổng cộng 36.042 địa chỉ gửi tiền Ethereum của khách hàng đã bị làm rỗng.
Các địa chỉ này đang giữ khoảng 266.000 USD, chỉ chiếm một phần nhỏ trong tổng tổn thất. Tuy nhiên, sau khi sàn giao dịch công bố thông báo, kẻ tấn công vẫn có thể tiếp tục chuyển các khoản tiền này.
Địa chỉ nạp tiền của khách hàng hoạt động giống như một tài khoản nhận tiền cá nhân cho tiền điện tử. Sau đó, sàn giao dịch sẽ tập trung các đồng tiền này vào một ví trực tuyến chung, còn gọi là ví nóng, để xử lý các giao dịch hàng ngày. Việc chuyển tiền từ địa chỉ nạp tiền yêu cầu khóa riêng, tức là chứng từ bí mật cấp quyền thực hiện giao dịch.
Bitquery cho biết các giao dịch rút tiền này được ủy quyền trực tiếp từ các địa chỉ gửi tiền, điều này có nghĩa là kẻ tấn công có thể đã chiếm quyền kiểm soát khóa riêng của các địa chỉ này hoặc đã có quyền hệ thống để ký giao dịch thay mặt các địa chỉ này.
Các nhà nghiên cứu giải thích: “Điều này yêu cầu mỗi địa chỉ đều có một khóa riêng, hoặc có thể truy cập vào hệ thống dùng để ký cho các địa chỉ này.” Họ cảnh báo rằng các sàn giao dịch thường tạo ra các khóa gửi tiền từ một khóa chính, điều này có nghĩa là kẻ tấn công vẫn có thể truy cập vào các địa chỉ của khách hàng khác.
Số tiền bị đánh cắp cũng gây tranh cãi. Ước tính ban đầu cho thấy tổn thất vượt quá 40 triệu USD, trong khi trang FAQ mới nhất của Mercado Bitcoin xác định tài sản bị ảnh hưởng ở mức khoảng 36,3 triệu USD. Bitquery ước tính số tiền bị đánh cắp trên 11 chuỗi khối là 48,6 triệu USD.
Cập nhật công khai của Mercado Bitcoin không giải thích sự khác biệt giữa tuyên bố “đã kiểm soát” và các giao dịch chuyển tiếp theo. Công ty đảm bảo với khách hàng rằng sẽ bù đắp tổn thất của người dùng bằng vốn của chính công ty.
Bitquery cảnh báo khách hàng không nên sử dụng lại các địa chỉ gửi tiền cũ cho đến khi sàn giao dịch xác nhận an toàn của chúng. Kế hoạch phục hồi của Mercado Bitcoin sẽ bắt đầu vào ngày 9 tháng 11, chỉ mở chức năng xem số dư; chưa có ngày tái khởi động cho việc gửi tiền, rút tiền và giao dịch.