Atak na brazylijską giełdę Mercado Bitcoin trwał jeszcze przez kilka godzin po tym, jak firma poinformowała o opanowaniu sytuacji. Analiza danych z blockchaina wskazuje, że napastnik nadal opróżniał adresy depozytowe klientów, mimo ogłoszonego zabezpieczenia systemów.
Środki wyprowadzano po komunikacie giełdy
Według firmy analitycznej Bitquery między 12:27 a 16:56 UTC 2 listopada haker opróżnił 36 042 adresy depozytowe na Ethereum. Mercado Bitcoin przekazało tego samego dnia o 12:56 UTC, że atak został powstrzymany. Oznacza to, że kradzież trwała jeszcze około czterech godzin po tym komunikacie.
Ustalenia mogą wskazywać, że napastnik uzyskał dostęp do narzędzi lub infrastruktury służącej do obsługi wpłat klientów. Mercado Bitcoin nie odpowiedziało od razu na prośbę o komentarz.
Straty większe od początkowych szacunków
Bitquery oszacowało łączną wartość skradzionych aktywów na 48,6 mln dolarów, uwzględniając środki z dziesięciu blockchainów. To więcej niż w pierwszych doniesieniach, w których mowa była o około 40 mln dolarów. Same adresy na Ethereum miały zawierać około 266 tys. dolarów.
Giełda zapowiedziała, że pokryje straty użytkowników. W działaniach związanych z odzyskiwaniem środków pomagały między innymi Tether, Circle i Chainalysis, którym udało się zamrozić aktywa o wartości przekraczającej 15 mln dolarów.
Prywatne klucze, a nie smart kontrakty, odpowiadają za 40% strat w krypto – co się zmienia. Warto sprawdzić, jakie zagrożenia mogą prowadzić do strat w branży kryptowalut.
Przypadek Mercado Bitcoin pokazuje, że komunikat o opanowaniu ataku nie zawsze oznacza natychmiastowe zatrzymanie kradzieży. Analiza danych on-chain może ujawnić działania, które trwają poza kontrolą giełdy. Dlatego szybkie i przejrzyste informowanie użytkowników ma kluczowe znaczenie.
Możliwy związek z atakiem na BitMart
Analiza Bitquery wskazała również na powiązania z osobnym incydentem dotyczącym portfeli, które firma przypisuje giełdzie BitMart. Ten sam adres kontrolowany przez napastnika zaczął wcześniej otrzymywać środki z portfeli działających w sieciach Base, Arbitrum i Optimism. Bitquery szacuje straty związane z tymi portfelami na około 391 tys. dolarów, choć BitMart nie potwierdził tej kwoty.
Założyciel BitMart, Sheldon Xia, potwierdził, że giełda padła ofiarą ataku 2 listopada. Przekazał też, że wstępne ustalenia wskazują na możliwy udział grupy odpowiedzialnej za włamanie do Mercado Bitcoin. Przyczyna obu incydentów pozostaje jednak nieznana, a wspólne ślady nie przesądzają, czy napastnicy wykorzystali tę samą lukę lub infrastrukturę.
Po ataku Mercado Bitcoin wstrzymało wpłaty i wypłaty. Serwis ma ponownie zostać udostępniony 9 listopada w trybie wyłącznie do odczytu; giełda nie podała jeszcze terminu wznowienia transferów.
Jak dla mnie to najbardziej niepokojące jest to, że komunikat o “opanowaniu sytuacji” poszedł za wcześnie. Jeśli przez kolejne 4 godziny ktoś dalej miał dostęp do depozytów, to znaczy że albo monitoring kuleje, albo procedury incident response są na papierze. Na giełdzie krypto to powinno być odcięte w minutach, nie godzinach.
48,6 mln USD i znowu klasyka: najpierw “wszystko pod kontrolą”, potem okazuje się, że kontrola była raczej iluzoryczna. Dobrze, że współpracowali z Tetherem i Chainalysis, bo bez zamrożenia części środków to by było tylko liczenie strat. Ale i tak pytanie zostaje – jakim cudem dało się opróżniać depozyty po ogłoszeniu zabezpieczenia?
Mam mieszane odczucia po takich newsach. Z jednej strony fajnie, że deklarują pokrycie strat użytkowników, z drugiej to już kolejny przypadek gdzie giełda trzyma krytyczną infrastrukturę w stanie, który po ataku nadal pozwala coś wynosić. To nie jest błąd “na backendzie”, tylko ewidentnie problem z architekturą i segregacją dostępu.
Tu pachnie kompromitacją procesu, nie tylko samym incydentem. Jeśli napastnik miał dostęp do narzędzi obsługujących wpłaty, to mógł omijać normalne flow depozytowe i wyciągać środki tak długo, jak długo nie odcięto całego środowiska. W praktyce trzeba by wiedzieć, czy to był kompromis hot walleta, API, czy jakiegoś panelu operacyjnego. Bez tego “atak trwał jeszcze kilka godzin” brzmi jak niedopowiedziane.
Po tym co się odwala na giełdach krypto, ja już nawet nie zakładam że “read only” oznacza cokolwiek więcej niż marketing. Dwa podobne incydenty, ślady między różnymi chainami i jeszcze możliwe powiązanie z BitMart – brzmi jak jakaś szersza kampania, a nie pojedynczy wybryk. Ciekawe czy za chwilę wyjdzie, że to jeden łańcuch dostaw albo wspólny vendor.
Najmocniejszy na ten moment sygnał to nie sam transfer środków, tylko to że ktoś był w stanie nadal operować na adresach depozytowych po oficjalnym komunikacie. To sugeruje, że zdrowe systemy nie były odseparowane od wewnętrznych narzędzi administracyjnych. W praktyce: brak proper key rotation, brak natychmiastowego revoke i pewnie kiepski blast radius. Jak na giełdę to jest bardzo słabe.
No i mamy kolejne “zabezpieczone”, które w praktyce znaczyło tylko “wiemy że coś się dzieje”. Dla zwykłego użytkownika najbardziej boli to, że trzeba potem ufać obietnicy zwrotu środków i czekać aż łaskawie przywrócą wypłaty. Ja bym po takim numerze raczej przenosiła wszystko na własny portfel, bo giełda to jednak za duże ryzyko.