في 2 نوفمبر، سحب محتالون أصولًا من المحافظ الساخنة لمنصة Mercado Bitcoin، أقدم وأكبر منصة لتداول العملات المشفرة في البرازيل، في عشر شبكات بلوكتشين دفعة واحدة. تتراوح تقديرات الخسائر بين 30 و49 مليون دولار. علّقت المنصة الإيداع والسحب، ولا تحدد موعدًا لاستئنافهما. وصباح 3 نوفمبر كانت المنصة لا تزال في وضع الصيانة.

تعمل Mercado Bitcoin منذ عام 2013 وتصف نفسها بأنها أول وسيط للعملات المشفرة في البلاد. ويتراوح عدد عملائها بين 4.5 و4.8 مليون بحسب المصادر. وفي 27 أكتوبر تقدمت بطلب ترخيص إلى البنك المركزي البرازيلي. وفي يوليو أصبحت Tether مساهمًا أقلية في شركتها القابضة 2TM.

خزنة مفتوحة وفارغة تتدفق منها سيول ذهبية، تجمّد بعضها في الجليد.
صورة توضيحية · Blackwood

كيف جرى الأمر

بحسب AuditKey، بدأ التحضير في 1 نوفمبر نحو الساعة ⁦21:20⁩ بتوقيت موسكو. وخرج أول تحويل في الساعة ⁦04:36⁩ على شبكة Arbitrum. ثم، كما يصف محلل CertiK ديكسون وو، أمضى المهاجم نحو أربع ساعات يجرّب مبالغ صغيرة على شبكات صغيرة. واستغرق السحب الرئيسي نحو نصف ساعة، من ⁦09:19⁩ إلى ⁦09:53⁩: أُفرغت المحافظ الساخنة في عشر شبكات، منها Bitcoin وEthereum وSolana وStellar وTron وAvalanche.

لم تكن هناك ثغرات في العقود الذكية. كانت تحويلات عادية موقّعة بمفاتيح صالحة تابعة للمنصة. ولا يُعرف كيف حصل المهاجم على صلاحية التوقيع. وتؤكد AuditKey أنه لا يمكن من خلال البلوكتشين التمييز بين اختراق خارجي وفعل شخص من الداخل أو خلل لدى مقاول.

«تم احتواء الهجوم»، والسحب مستمر

في الساعة ⁦15:56⁩ بتوقيت موسكو، أعلنت Mercado Bitcoin أنها رصدت حادثًا في «أحد أنظمتها» واحتوته سريعًا، وأن العملاء لن يخسروا شيئًا، وأن البيانات لم تتسرب. لكن ما كان يجري على البلوكتشين مختلف. فبحسب إحصاء Bitquery، أفرغ المهاجم من ⁦15:27⁩ إلى ⁦19:56⁩ عدد 36,042 عنوان إيداع للعملاء على Ethereum، وكنس 143 عنوانًا آخر على BNB Chain حتى ⁦21:08⁩. أي أنه واصل سحب الأموال نحو أربع ساعات بعد بيان المنصة.

المبلغ هنا صغير، نحو 266 ألف دولار: كان في 91% من هذه العناوين أقل من 10 دولارات. لكن الأهم شيء آخر. كان لدى المهاجم مفاتيح ليس فقط للمحافظ الساخنة، بل أيضًا للعناوين التي يودع عبرها العملاء أموالهم في حساباتهم. يقول وو: «من فعل ذلك يستطيع أيضًا السحب من عناوين إيداع العملاء». ويعترض باحثون تحدثوا إلى The Record على قول المنصة إن أموال العملاء لم تتأثر. من الناحية الشكلية المنصة محقة: فهي التي تحتفظ بالعملات في عناوين الإيداع، وليس لدى العميل سوى قيد برصيده. ولهذا السبب تحديدًا يتوقف كل شيء على وفائها بوعدها.

كم سُرق: من 30 إلى 49 مليون دولار

  • AuditKey: 30.3 مليون دولار، مع احتساب الرموز ذات السعر الموثوق فقط.
  • Hypernative: أكثر من 40 مليون دولار في عشر شبكات على الأقل.
  • Bitquery: 48.6 مليون دولار، و47.4 مليون دون رمز EVA.
  • Chainalysis، التي لجأت إليها المنصة طلبًا للمساعدة: نحو 49 مليون دولار في 17 شبكة. وبحسب Bitquery، تشمل هذه الشبكات السبع عشرة شبكات تحركت فيها أموال من محافظ لا علاقة لها بالمنصة، بينما وقعت خسائر المنصة نفسها في عشر.

وفي تحديثها المسائي، ذكرت Mercado Bitcoin نفسها رقمين: نحو 11 مليون دولار محجوبة، ونحو 38 مليونًا «لم تُحجب بعد». والمجموع نحو 49 مليون دولار. وقدّمت بعض وسائل الإعلام مبلغ 38 مليونًا على أنه إجمالي الخسائر، بينما هو في الواقع الجزء غير المجمّد فقط. وبحسب Hypernative، تضم الأصول المسروقة 106 BTC و2,852 ETH و10,700 SOL و6.7 مليون XLM و1.7 مليون TRX وأكثر من مئتي رمز آخر. أما البيتكوين، فبحسب Bitquery، لم تتحرك بعد.

التجميد: هذه المرة أفاد

نفّذت Tether أول حجب في الساعة ⁦13:21⁩ بتوقيت موسكو، وانضمت Circle بعد نحو ست ساعات. وأحصت Bitquery أموالًا مجمّدة بقيمة 11.4 مليون دولار: 5.9 مليون لدى Tether، و3.9 مليون لدى Circle، و1.5 مليون لدى Paxos، ونحو 145 ألفًا لدى Agora وRipple. وبقي 358 ألف EURC دون تجميد. أما Chainalysis فتذكر أرقامًا أخرى: نحو 10 ملايين دولار، منها أكثر من 9 ملايين لدى Tether. ولا يمكن حتى الآن التوفيق بين هذه البيانات.

هنا صبّ التجميد في مصلحة المتضررين. لكنه الزر نفسه: يستطيع المُصدر إيقاف USDT أو USDC على أي عنوان، بما في ذلك عنوانك، والقرار له. أما BTC وETH وSOL وXLM فلا يستطيع أحد تجميدها، ولذلك بادل المهاجم معظم الغنيمة بهدوء عبر خدمتَي المبادلة Mayan وBridgers.

وعد بلا مصدر

تكرر المنصة أن العملاء لن يخسروا شيئًا، لكنها لا تقول من أين ستأتي الأموال ولا متى: لا كلمة عن الاحتياطيات أو التأمين أو المساهمين. وسيعود السحب «عندما يكون ذلك آمنًا». وحتى صباح 3 نوفمبر، لم يُدلِ البنك المركزي البرازيلي ولا هيئة الأوراق المالية ولا الشرطة الفيدرالية بأي تصريح علني. وتحذّر المنصة كذلك من محتالين يعرضون «المساعدة في استرداد الأموال». إذا كنت من عملاء Mercado Bitcoin، فلا تردّ على مثل هذه العروض، ولا ترسل أي شيء إلى عناوين الإيداع القديمة حتى تعلن المنصة أنها آمنة.

أسئلة مفتوحة

  • كيف حصل المهاجم على صلاحية التوقيع: عبر المفاتيح، أم نظام التوقيع، أم موظف، أم مقاول؟
  • لماذا وصفت المنصة الهجوم بأنه تم احتواؤه، بينما استمر السحب من عناوين العملاء أربع ساعات أخرى؟
  • هل استُبدلت مفاتيح عناوين الإيداع، وهل يمكن الإيداع مجددًا ببيانات الحساب القديمة؟
  • من أي أموال ستغطي المنصة مبلغ 38 مليون دولار غير المجمّد؟
  • متى وبأي ترتيب سيُستأنف السحب؟
  • ما المبلغ النهائي، وكم شبكة تأثرت: عشر أم سبع عشرة؟

ما الذي يعنيه ذلك

الرصيد في منصة التداول وعدٌ من المنصة. وما دام السحب مغلقًا، فإن عملاتك ليست سوى سطر في قاعدة بياناتها، وستستعيد الوصول إليها حين تقرر هي ذلك. احتفظ في المنصة بما تتداول به فقط، والباقي في محفظة لا يملك مفاتيحها أحد سواك. ومع ذلك، ضع في حسبانك أن المُصدر يستطيع تجميد العملات المستقرة حتى في محفظتك الخاصة.

للسياق: قبل ذلك بثلاثة أيام، أعلنت Chainalysis عن اختراق أنظمتها هي نفسها، وهي الشركة ذاتها التي تساعد الآن Mercado Bitcoin في تتبّع الأموال المسروقة.