Mercado Bitcoin zawiesza transfery po podejrzanych odpływach przekraczających 40 mln dolarów

Mercado Bitcoin wstrzymuje wpłaty i wypłaty

Mercado Bitcoin, brazylijska giełda kryptowalut, zawiesił w poniedziałek zarówno wpłaty, jak i wypłaty po tym, jak firma zajmująca się bezpieczeństwem Hypernative poinformowała, że w nocy z portfeli powiązanych przez nią z platformą odpłynęło ponad 40 mln dolarów. Giełda poinformowała, że wcześnie rano zidentyfikowała incydent związany z bezpieczeństwem w jednym ze swoich systemów i szybko go opanowała. Wstrzymanie ogranicza transfery do serwisu i z niego na czas dochodzenia prowadzonego przez firmę.

Giełda poinformowała, że klienci nie ponieśli strat i nie doszło do wycieku danych klientów. Dodała też, że jej zespoły prowadzą dochodzenie, śledzą środki i koordynują działania z właściwymi organami. Zapewnienia te opisują ocenę przedstawioną przez firmę, a nie ostateczne ustalenia dotyczące przebiegu incydentu: przekazane dotąd informacje nie wskazują, którego systemu dotyczył problem ani nie wyjaśniają, w jaki sposób zatwierdzono transfery.

Hypernative określiła podaną kwotę w dolarach jako wstępną, ponieważ musiała jeszcze potwierdzić, że każdy adres źródłowy należał do Mercado Bitcoin. To zastrzeżenie ma znaczenie: podana kwota jest szacunkiem firmy zajmującej się bezpieczeństwem, opartym na aktywności portfeli, a nie ostatecznym rozliczeniem giełdy przedstawionym w dostarczonych informacjach. Zawieszenie usług przez firmę zostało potwierdzone, ale ostateczna suma i pełny zakres portfeli, których dotyczy sprawa, wymagają jeszcze ustalenia.

Transfery między łańcuchami i nierozstrzygnięte kwestie podpisywania transakcji

Hypernative poinformowała, że transfery objęły co najmniej 10 łańcuchów bloków, wymieniając wśród nich Bitcoin, Ethereum, Solana i Tron. Pierwszy podejrzany ruch, który zidentyfikowała, nastąpił o 2:15 UTC. Szeroki zakres łańcuchów wskazuje na aktywność obejmującą wiele sieci, ale źródło nie podaje kwot przesłanych w każdym łańcuchu ani pełnego zestawienia wszystkich transakcji uwzględnionych we wstępnym szacunku.

Według Hypernative największe transfery miały miejsce między 6:19 a 6:53 UTC. W tym czasie portfele powiązane z Mercado Bitcoin przesłały większość środków na nowo utworzone adresy. Firma poinformowała, że były to zwykłe podpisane transakcje, czyli takie, które w łańcuchu bloków wyglądały tak, jakby autoryzowały je portfele źródłowe. Nie ustalono, w jaki sposób napastnik uzyskał możliwość podpisywania transakcji z tych portfeli.

Mercado Bitcoin opublikowała później pięć adresów docelowych powiązanych przez nią z incydentem, obejmujących sieci EVM, Bitcoin, Solana, Stellar i Tron. Opublikowane adresy wskazują konkretne miejsca, które mogą obserwować zainteresowani, ale same w sobie nie rozstrzygają, kto jest właścicielem każdego portfela źródłowego, ani nie wyjaśniają, w jaki sposób uzyskano uprawnienia do podpisywania transakcji. Wstępne przypisanie adresów przez Hypernative pozostaje istotnym ograniczeniem podanej kwoty.

Śledzenie portfeli docelowych

Eksplorator Bitcoina mempool.space pokazał, że opublikowany adres Bitcoin otrzymał w poniedziałek wczesnym rankiem około 106 BTC. Większość trafiła tam w jednej transakcji: 104,4 BTC o 6:41 UTC. Z dostarczonego raportu wynikało, że do 14:50 UTC żadne z tych bitcoinów nie zostały przesłane dalej. Ten zrzut danych wskazuje, że w tamtym momencie środki nadal znajdowały się pod tym adresem, ale nie potwierdza, czy można było je odzyskać ani co stało się z nimi później.

Tether zamroził USDT wysłane na dwa adresy docelowe. Dane on-chain wskazują, że odpowiednie kontrakty USDT na Ethereum i Tron zostały wpisane na czarną listę. Na adresie Tron znajdowało się 708 243 USDT, a na adresie Ethereum ponad 3 miliony. Zgłoszone zamrożenia dotyczą tych sald stablecoinów; źródło nie podaje, że zamrożono inne aktywa lub adresy.

Szczegóły on-chain wskazują na różne losy śledzonych aktywów: według doniesień saldo Bitcoinów nie zostało przemieszczone do wskazanego momentu obserwacji, natomiast Tether zamroził USDT na dwóch adresach. Fakty te dokumentują monitorowanie i interwencję, ale nie dowodzą, że udało się powstrzymać wszystkie zgłoszone odpływy. Źródło nie podaje ostatecznej kwoty odzyskanych środków i nie wiadomo, jaka część wstępnie oszacowanej sumy może zostać zwrócona lub w inny sposób unieruchomiona.

Odrębny incydent w Binance stanowi dodatkowy kontekst dotyczący bezpieczeństwa

Incydent w Mercado Bitcoin nastąpił po odrębnej stracie w Binance, która — według raportu — miała miejsce cztery dni wcześniej, 29 października. Binance straciło 6,3 mld dolarów ze swoich gorących portfeli, a Hypernative określiło to zdarzenie jako największą kradzież kryptowalut w historii. Krótki odstęp między incydentami stanowi kontekst dla kwestii bezpieczeństwa giełd, ale źródło nie łączy tych spraw ani nie sugeruje, że stał za nimi ten sam napastnik lub przyczyna techniczna.

Binance przypisało stratę przejętemu laptopowi inżyniera DevOps, który — jak podała giełda — umożliwił napastnikowi zlecanie nieautoryzowanych wypłat. Giełda wstrzymała również wypłaty, jednocześnie gruntownie przebudowując zabezpieczenia usługi wypłat. Ten opis dotyczy Binance, a nie Mercado Bitcoin: Hypernative nie wyjaśniło jeszcze, w jaki sposób transakcje Mercado Bitcoin uzyskały uprawnienia do podpisywania, dlatego nie można zakładać, że w obu incydentach zastosowano ten sam mechanizm.

Według raportu około 3 mld dolarów ze środków Binance zostało zamrożonych w łańcuchu dzięki pomocy partnerów z branży blockchain. Ta reakcja to odrębny przykład unieruchomienia środków dzięki współpracy, a nie dowód na odzyskanie podobnej kwoty w sprawie Mercado Bitcoin. W przypadku Mercado Bitcoin wiadomo, że zawieszono wypłaty, giełda zapewniła, że klienci nie ponieśli strat, odnotowano aktywność na poziomie adresów oraz zamrożenie USDT; przyczyna, ostateczna wysokość strat i odzyskane środki pozostają niewyjaśnione.

Źródło: CryptoPotato