Злоумышленник продолжал опустошать депозитные адреса бразильской биржи Mercado Bitcoin примерно четыре часа после того, как 2 ноября компания заявила, что быстро локализовала кибератаку. К такому выводу пришла Bitquery, которая 5 ноября опубликовала разбор 11 блокчейнов. На Ethereum аналитики насчитали 36 042 опустошённых депозитных адреса: операции шли с 12:27 до 16:56 UTC, а заявление биржи появилось в 12:56 UTC.

36 042 — это количество адресов, а не пострадавших клиентов. Вместе на них находилось около $266 тысяч, причём 91% адресов хранили менее $10. Важнее сам механизм: каждый перевод был подписан отдельно, то есть атакующий располагал ключами от депозитных адресов либо доступом к системе, которая подписывала операции за них. Причина компрометации пока неизвестна. Это взлом инфраструктуры централизованной биржи, а не блокчейнов, по которым двигались активы.

Bitquery оценила выведенные 2 ноября средства в $48,6 млн по курсам на момент операций. Chainalysis независимо насчитала около $49 млн на 17 блокчейнах. Сама Mercado Bitcoin в обновляемой справке указывает меньшую сумму — около $36,3 млн — и сообщает о блокировке $12,9 млн. Эти оценки относятся к разным наборам сетей, моментам оценки и стадиям отслеживания; окончательной сверки биржа не публиковала.

Mercado Bitcoin обещает, что клиенты не потеряют активы, а записи их балансов сохранены. Ввод, вывод и торговля пока остановлены. По данным Folha de S.Paulo, с 9 ноября компания планирует постепенно открыть веб-доступ только для просмотра балансов и истории, а операции возвращать отдельными этапами после проверок безопасности.

В первом материале об атаке DOK писал о предварительных оценках свыше $40 млн и обычных подписанных переводах. Новый разбор уточняет, почему раннее заявление о локализации не означало, что доступ к депозитным адресам уже прекращён.