Bitquery: хакер выводил средства Mercado Bitcoin после заявления о локализации атаки
Злоумышленник еще около четырех часов выводил криптовалюту с депозитных адресов крупнейшей бразильской биржи Mercado Bitcoin после того, как компания объявила о локализации взлома. К такому выводу пришли аналитики Bitquery.
Платформа сообщила, что взяла инцидент под контроль 2 ноября в 12:56 UTC. Однако специалисты выяснили, что с 12:27 до 16:56 UTC хакер опустошил 36 042 депозитных адреса пользователей в Ethereum. В общей сложности с них ушли активы примерно на $266 000.
Похожие переводы исследователи зафиксировали в сетях BNB Chain и Base. В первой средства поступали злоумышленнику до 18:08 UTC, то есть более пяти часов после официального заявления. Один из кошельков к этому времени отправил ему $124 000.
Весь ущерб от атаки Bitquery оценила в $48,6 млн. Хакер похитил средства с кошельков биржи в 11 блокчейнах, включая Ethereum, биткоин, Solana, Tron и Polygon.
Эта сумма оказалась выше оценки самой Mercado Bitcoin в $36,3 млн. Аналитики уточнили, что рассчитывали стоимость активов на момент каждого перевода. При этом часть токенов обладает ограниченной ликвидностью. Например, без малоликвидного токена EVA в Arbitrum ущерб составит $47,4 млн.
Возможная компрометация ключей
Особое внимание исследователи уделили способу вывода средств с депозитных адресов. В отличие от обычных переводов из горячих кошельков биржи, операции проводились непосредственно с адресов, предназначенных для пополнения клиентских счетов.
Каждая транзакция была подписана соответствующим адресом. По мнению специалистов, это указывает на возможное получение злоумышленником доступа к приватным ключам либо к внутренней системе, которая подписывает операции от их имени.
Исследователи допустили, что все депозитные адреса могли быть созданы на основе одного мастер-ключа. В таком случае под угрозой могут оставаться и другие кошельки, даже если на момент атаки они не содержали средств.
Bitquery рекомендовала пользователям не отправлять криптовалюту на прежние депозитные адреса, пока Mercado Bitcoin не подтвердит их безопасность.
При этом точный способ проникновения пока не установлен. По словам аналитиков, данные блокчейна позволили проследить движение активов, но не доказали компрометацию конкретной системы управления ключами.
Что происходит с похищенными средствами
Согласно анализу Bitquery, эмитенты стейблкоинов заблокировали около $11,8 млн из похищенных активов. В операции участвовали Tether, Circle, Paxos, Agora и Ripple.
Наибольший объем замороженных средств пришелся на USDT и USDC. Кроме того, разработчики Synthetix изъяли с адреса злоумышленника токены SNX стоимостью около $76 000.
Затем атакующий начал обменивать другие активы на ETH. За 3-4 ноября через сервис обмена MetaMask он конвертировал токены примерно на $11,9 млн.
На момент последней проверки Bitquery на связанных со злоумышленником адресах Ethereum находилось 8678 ETH стоимостью около $20,1 млн. Еще 106,07 BTC оставались без движения.
По последним данным Mercado Bitcoin, совместно с отраслевыми партнерами удалось заблокировать более $15 млн. В эту сумму, помимо заморозок стейблкоин-компаний, вошли результаты работы аналитических фирм, включая Chainalysis. Биржа заявила, что продолжит отслеживать движение остальных средств вместе с правоохранительными органами.
Когда возобновится работа биржи
Возобновление работы платформы запланировано на 9 ноября. На первом этапе пользователям откроют доступ к сайту для просмотра балансов, истории операций и инвестиций.
Биржа также уточнила, что компенсирует клиентам затронутые активы за счет собственных средств.
Переводы, вывод и торговлю криптовалютами восстановят позднее — после завершения дополнительных проверок безопасности. Конкретные сроки пока не назвали.
Mercado Bitcoin не объяснила публично переводы, которые Bitquery обнаружила после объявления о локализации атаки.
Напомним, по предварительным данным, ущерб от атаки превышал $40 млн. Позднее аналитики Chainalysis насчитали $49 млн, похищенных в 17 блокчейнах.