En bref
- Bitquery affirme que l'attaquant a vidé 36 042 adresses de dépôt Ethereum pendant près de quatre heures après que Mercado Bitcoin a annoncé avoir maîtrisé la situation.
- Les chercheurs ont suivi 48,6 millions de dollars sur 11 réseaux, au-dessus de la dernière estimation de la bourse de 36,3 millions de dollars.
- Mercado Bitcoin prévoit de rouvrir la consultation des comptes le 9 novembre, mais les retraits et les échanges resteront initialement suspendus.
De nouvelles recherches sur la blockchain montrent qu'un attaquant a vidé des adresses de dépôt liées à Mercado Bitcoin près de quatre heures après que la bourse brésilienne a déclaré avoir maîtrisé une faille de sécurité.
L'analyse de Bitquery, mise à jour jeudi, retrace plus de 48 millions de dollars d'actifs volés sur 11 blockchains. Ses conclusions remettent en question l'affirmation de la bourse selon laquelle elle aurait rapidement stoppé l'attaque.
La bourse de bitcoins a annoncé à 9 h 56, heure du Brésil, le 2 novembre, qu'elle avait rapidement maîtrisé l'incident. Bitquery affirme que 36 042 adresses de dépôt de clients Ethereum ont été vidées entre 9 h 27 et 13 h 56, heure du Brésil.
Ces adresses détenaient environ 266 000 $, une petite fraction du vol total. Mais l'attaquant pourrait encore déplacer ces fonds après l'annonce de la plateforme d'échange.
Une adresse de dépôt client fonctionne un peu comme un compte de réception personnel pour la cryptomonnaie. L'échange regroupe ensuite ces pièces dans un portefeuille en ligne partagé, appelé portefeuille chaud, afin de traiter les transactions quotidiennes. Déplacer des fonds depuis une adresse de dépôt nécessite sa clé privée, le secret qui autorise les transferts.
Bitquery affirme que les retraits ont été autorisés directement par les adresses de dépôt, ce qui suggère que l'attaquant avait accès à leurs clés privées ou à un système capable de signer des transactions en leur nom.
« Cela nécessite une clé pour chaque adresse, ou un moyen d'accéder au système qui signe pour elles », ont expliqué les chercheurs. Ils ont averti que les échanges génèrent généralement les clés de dépôt à partir d'une seule clé maîtresse, ce qui signifie que l'attaquant pourrait encore être en mesure d'accéder à d'autres adresses clients.
BitcoinBTC · USD
76 086 $−3,51%
29 oct.31 oct.2 nov.4 nov.5 nov.
80,7 k$79,1 k$77,5 k$76,0 k$
Haut 24 hHaut80 882 $
Bas 24 hBas75 573 $
VolVol1,9 Md$
Projections de marchéCotes par Myriad
Aujourd'huiAu-dessus de 76 000 $Au-dessus de 76 k$52% de chanceCette semaineAu-dessus de 76 000 $Au-dessus de 76 k$52% de chance
→Acheter Bitcoin avec USDC
Propulsé par Jupiter
Le montant dérobé est également contesté. Les estimations initiales situaient le montant au-dessus de 40 millions de dollars, tandis que la FAQ mise à jour de Mercado Bitcoin situe désormais les actifs concernés à environ 36,3 millions de dollars. Bitquery estime que 48,6 millions de dollars ont été volés sur 11 blockchains.
Les mises à jour publiques de Mercado Bitcoin n'ont pas expliqué l'écart entre son affirmation de confinement et les transferts ultérieurs. L'entreprise a assuré à ses clients qu'elle couvrirait les pertes des utilisateurs avec ses propres fonds.
Bitquery met en garde les clients contre la réutilisation d'anciennes adresses de dépôt jusqu'à ce que la plateforme d'échange confirme qu'elles sont sûres. Le plan de réouverture de Mercado Bitcoin commence le 9 novembre avec uniquement la consultation des soldes ; les dépôts, les retraits et les transactions n'ont pas de date de reprise.
Rejoignez plus de 72 000 lecteurs
Créer un comptepour enregistrer vos articles.
