要約すると

• Bitqueryによると、Mercado Bitcoinが封じ込めを発表した後、攻撃者はほぼ4時間にわたって36,042 Ethereumの入金アドレスから資金を流出させ続けた。

• 研究者らは$48.6 millionを11のネットワークにわたって追跡しており、これは取引所の最新の推計である$36.3 millionを上回っている。

• Mercado Bitcoinは11月9日にアカウント閲覧を再開する予定だが、出金と取引は当初停止されたままとなる。

新たなブロックチェーン調査によると、ブラジルの取引所がセキュリティ侵害を封じ込めたと発表してから約4時間後に、攻撃者がMercado Bitcoinに関連する入金アドレスから資金を流出させていたことが明らかになった。

木曜日に更新されたBitqueryの分析では、11のブロックチェーンにまたがる盗まれた資産のうち$48 million以上を追跡している。その調査結果は、攻撃を迅速に阻止したという取引所の主張に異議を唱えるものである。

ビットコイン取引所は、ブラジル時間11月2日午前9時56分に、インシデントを迅速に封じ込めたと発表した。Bitqueryによると、36,042 Ethereumの顧客入金アドレスは、ブラジル時間午前9時27分から午後1時56分の間に空にされた。

画像を読み込み中

11月のBTC安値

これらのアドレスには約$266,000が保有されており、これは盗難総額のごく一部にすぎない。しかし、取引所の発表後も、攻撃者はこれらの資金を移動させることができた。

顧客の入金アドレスは、暗号資産における個人用の受け取り口座のようなものだ。取引所はその後、日々の取引を処理するため、これらのコインをホットウォレットと呼ばれる共有のオンラインウォレットに集約する。入金アドレスから資金を移動するには、送金を承認する秘密であるその秘密鍵が必要となる。

Bitqueryによると、引き出しは入金アドレスによって直接承認されており、攻撃者がそれらの秘密鍵、またはそれらの代理として取引に署名できるシステムにアクセスしていたことを示唆している。

「そのためには各アドレスの鍵、またはそれらの署名を行うシステムへの侵入経路が必要だ」と研究者らは説明した。取引所は通常、単一のマスターキーから入金用の鍵を生成するため、攻撃者が他の顧客アドレスにも依然としてアクセスできる可能性があると警告した。

盗まれた金額についても議論がある。当初の推計では$40 millionを超える額とされていたが、Mercado Bitcoinが更新したFAQでは現在、影響を受けた資産は約$36.3 millionとされている。Bitqueryは、11のブロックチェーンにわたり$48.6 millionが盗まれたと推計している。

Mercado Bitcoinの公開情報では、封じ込め主張とその後の送金との間の隔たりについて説明されていない。同社は顧客に対し、ユーザーの損失は自社資金で補償すると保証した。

Bitqueryは、取引所が安全であると確認するまで、顧客に対し古い入金アドレスを再利用しないよう警告している。Mercado Bitcoinの再開計画は11月9日の残高閲覧のみから始まり、入金、出金、取引には再開日が設定されていない。