Bitquery: El hacker retiró fondos de MercadoBitcoin tras el anuncio de la localización del ataque

El hacker siguió retirando criptomonedas de las direcciones de depósito de la mayor bolsa de Brasil, MercadoBitcoin, durante aproximadamente cuatro horas, después de que la empresa anunciara la localización del hack. A esta conclusión llegaron los analistas de Bitquery.

La plataforma informó que tomó el control de la situación el 2 de noviembre a las 12:56 UTC. Sin embargo, los expertos descubrieron que, desde las 12:27 hasta las 16:56 UTC, el hacker vació 36 042 direcciones de depósito de los usuarios en Ethereum, lo que resultó en la pérdida de activos por un valor de aproximadamente 266 000 dólares.

Retiro de fondos de las direcciones de depósito de MercadoBitcoin en la red Ethereum. Fuente: Bitquery.

Los investigadores también registraron casos similares en las redes BNB Chain y Base. En la red BNB Chain, los fondos llegaron al hacker hasta las 18:08 UTC, es decir, más de cinco horas después del anuncio oficial. Uno de los monederos le transfirió 124 000 dólares en ese momento.

El daño total causado por el ataque de Bitquery se estima en 48,6 millones de dólares. El hacker robó fondos de las cuentas de la bolsa en 11 blockchains, incluyendo Ethereum, Bitcoin, Solana y Tron.

Esta cantidad supera la estimación de MercadoBitcoin, que era de 36,3 millones de dólares. Los analistas tuvieron en cuenta el valor de los activos en el momento de cada transferencia; además, parte de los tokens tienen liquidez limitada.Например, без использования малоликвидного токена EVA в платформе Arbitrum ущерб составит 47,4 миллиона долларов.

Возможно нарушение конфиденциальности ключей.

Исследователи уделили особое внимание способу вывода средств с депозитных адресов. В отличие от обычных переводов с торговых кошельков, операции проводились непосредственно с адресов, предназначенных для пополнения клиентских счетов.

Схема атаки на кошельки Mercado Bitcoin. Источник: Bitquery.

Каждая транзакция была подписана соответствующим адресом. По мнению специалистов, это может указывать на то, что злоумышленник получил доступ к приватным ключам или к внутренней системе, отвечающей за подписание транзакций от их имени.

Исследователи предполагают, что все депозитные адреса могли быть созданы на основе одного мастер-ключа. В этом случае под угрозой могут оказаться и другие кошельки, даже если в момент атаки они не содержали средств.

Bitquery рекомендует пользователям не отправлять криптовалюту на прежние депозитные адреса до тех пор, пока Mercado Bitcoin не подтвердит их безопасность.

Точный способ проникновения злоумышленника пока не установлен. Аналитики отмечают, что данные блокчейна позволили отследить перемещение активов, но не доказали нарушение конфиденциальности системы управления ключами.

Что происходит с украденными средствами?

Согласно анализу Bitquery, эмитенты стейблкоинов заблокировали около 11,8 миллиона долларов из украденных средств. В операциях приняли участие Tether, Circle, Paxos, Agora и Ripple.

Наибольшая сумма заблокированных средств пришлась на токены USDT и USDC. Кроме того, разработчики компании Synthetix изъяли с адреса злоумышленника токены SNX на сумму около 76 000 долларов.

Затем нападающий начал обменивать другие активы на ETH. За 3–4 ноября через сервис обмена MetaMask он конвертировал токены примерно на 11,9 млн долларов.

На момент последней проверки на адресах, связанных с мошенником в сети Ethereum, находилось 8678 единиц ETH на сумму около 20,1 млн долларов. Кроме того, 106,07 единиц BTC оставались неподвижными (то есть не использовались для сделок).

Согласно последним данным Mercado Bitcoin, совместно с отраслевыми партнерами удалось заблокировать более 15 млн долларов. В эту сумму вошли результаты действий не только компаний, занимающихся стейблкоинами, но и аналитических фирм, включая Chainalysis. Биржа заявила, что будет продолжать отслеживать движение оставшихся средств вместе с правоохранительными органами.

Когда будет возобновлено работание биржи, пока неизвестно.

Возобновление работы платформы запланировано на 9 ноября. На первом этапе пользователям будет предоставлен доступ к сайту для просмотра баланса, истории операций и инвестиций.

Биржа также сообщила, что компенсирует клиентам ущерб, понесенный в результате атаки, за счет собственных средств.

Переводы, вывод и торговля криптовалютами будут возобновлены позже — после завершения дополнительных проверок безопасности. Конкретные сроки пока не названы.

Mercado Bitcoin не дала публичных пояснений относительно переводов средств, обнаруженных сервисом Bitquery после объявления о начале атаки.

Напомним, что, согласно предварительным данным, ущерб от атаки превысил 40 млн долларов. Позже аналитики из Chainalysis оценили сумму ущерба в 49 млн долларов; эти средства были украдены с 17 блокчейнов.