Mercado Bitcoin tvrdi da je hakiranje stavljeno pod kontrolom, ali podaci s blockchaina govore drukčiju priču

Napadač je ispraznio 36.042 Ethereum adresa za polog povezanih s brazilskom burzom Mercado Bitcoin gotovo četiri sata nakon što je ta burza objavila da je sigurnosni incident stavljen pod kontrolu, pokazuje novo istraživanje lanaca blokova. Analiza tvrtke Bitquery, ažurirana u četvrtak, prati više od 48 milijuna dolara ukradene imovine na 11 lanaca blokova. Mercado Bitcoin je 2. studenoga u 9:56 po brazilskom vremenu priopćio da je incident brzo obuzdan.

Prema Bitqueryju, 36.042 Ethereum adresa za polog klijenata ispražnjeno je između 9:27 i 13:56 po brazilskom vremenu. Na tim se adresama nalazilo oko 266.000 dolara, što je mali dio ukupne štete, ali napadač je tim sredstvima mogao raspolagati i nakon objave burze. Bitquery navodi da su povlačenja bila izravno autorizirana s adresa za polog, što upućuje na to da je napadač imao pristup privatnim ključevima ili sustavu koji može potpisivati transakcije u njihovo ime. Istraživači su objasnili da je za to potreban ključ za svaku adresu ili način ulaska u sustav koji potpisuje transakcije u njihovo ime.

Kontekst

Adresa za polog radi slično kao osobni račun za primanje kriptovaluta. Burza potom prikuplja ta sredstva u zajednički vrući novčanik, odakle se pokrivaju svakodnevne transakcije. Za premještanje sredstava s adrese za polog potreban je privatni ključ, tajna koja autorizira prijenos. Bitquery kaže da su povlačenja bila autorizirana izravno s adresa za polog, što sugerira da je napadač imao privatne ključeve ili pristup sustavu koji potpisuje u njihovo ime. Istraživači upozoravaju da burze obično generiraju ključeve za polog iz jednog glavnog ključa, pa bi napadač mogao pristupiti i drugim adresama klijenata.

Ključne brojke

Ključni brojevi iz istraživanja su: 36.042 ispražnjenih Ethereum adresa za polog; 48,6 milijuna dolara ukradene imovine prema Bitqueryju; 11 lanaca blokova na kojima je praćena imovina; 36,3 milijuna dolara koliko burza sada navodi kao vrijednost pogođene imovine; više od 40 milijuna dolara iz prvih procjena; i oko 266.000 dolara na samim Ethereum adresama za polog. Mercado Bitcoin planira 9. studenoga ponovno omogućiti pregled stanja računa, ali isplate i trgovanje u početku ostaju obustavljeni.

Što to znači

Ovo je važno jer dovodi u pitanje tvrdnju burze da je napad zaustavljen na vrijeme. Bitqueryjeva analiza pokazuje da su transferi s dijela adresa uslijedili i nakon objave o obuzdavanju incidenta, a ukupna šteta veća je od najnovije procjene same burze. Mercado Bitcoin tvrdi da će gubitke korisnika pokriti vlastitim sredstvima, no javne objave nisu objasnile razliku između tvrdnje o zaustavljanju napada i kasnijih transfera. Istraživači dodatno upozoravaju da bi napadač mogao imati pristup drugim adresama klijenata zbog načina na koji se generiraju ključevi za polog.

Što slijedi

Mercado Bitcoin planira 9. studenoga započeti ponovno otvaranje pregledom stanja računa, no depoziti, isplate i trgovanje za sada nemaju datum ponovnog pokretanja. Bitquery savjetuje klijentima da ne koriste stare adrese za polog dok burza ne potvrdi da su sigurne. Ostaje vidjeti hoće li burza objasniti nesklad između svoje procjene štete i podataka o 48,6 milijuna dolara te hoće li potvrditi da su i ostale adrese klijenata zaštićene.