Zloději 2. listopadu vyvedli aktiva z horkých peněženek Mercado Bitcoin, nejstarší a největší kryptoburzy v Brazílii, a to současně v deseti blockchainových sítích. Odhady škody se pohybují od 30 do 49 milionů dolarů. Burza pozastavila vklady i výběry a neuvádí, kdy je obnoví. Ráno 3. listopadu byla platforma stále v režimu údržby.
Mercado Bitcoin funguje od roku 2013 a označuje se za prvního kryptobrokera v zemi. Podle různých údajů má 4,5 až 4,8 milionu klientů. 27. října burza požádala o licenci brazilské centrální banky. V červenci se Tether stal menšinovým akcionářem jejího holdingu 2TM.
Jak to probíhalo
Podle AuditKey začaly přípravy už 1. listopadu kolem 21:20 moskevského času. První převod odešel ve 04:36 v síti Arbitrum. Poté, jak popisuje analytik CertiK Dixon Wu, útočník asi čtyři hodiny zkoušel malé částky v menších sítích. Hlavní výběr trval zhruba půl hodiny, od 09:19 do 09:53: horké peněženky se vyprázdnily v deseti sítích, mimo jiné v Bitcoinu, Ethereu, Solaně, Stellaru, Tronu a Avalanche.
Zranitelnosti v chytrých kontraktech tu nehrály roli. Šlo o běžné převody podepsané platnými klíči burzy. Jak útočník získal oprávnění k podpisu, není známo. AuditKey zdůrazňuje, že z blockchainu nelze rozlišit útok zvenčí od jednání zasvěcené osoby nebo selhání u dodavatele.
„Útok je lokalizován“, ale výběry pokračovaly
V 15:56 moskevského času Mercado Bitcoin oznámila, že incident v „jednom ze systémů“ byl odhalen a rychle lokalizován, klienti nic neztratí a data neunikla. Na blockchainu se přitom dělo něco jiného. Podle výpočtu Bitquery útočník od 15:27 do 19:56 vyprázdnil 36 042 vkladových adres klientů v Ethereu a v BNB Chain vybral do 21:08 dalších 143 adres. Prostředky tedy vyváděl ještě asi čtyři hodiny po prohlášení burzy.
Částka je tu malá, asi 266 tisíc dolarů: na 91 % těchto adres leželo méně než 10 dolarů. Důležitější je něco jiného. Útočník měl klíče nejen k horkým peněženkám, ale i k adresám, na které klienti vkládají peníze. „Kdo to udělal, může vybírat i z vkladových adres klientů,“ říká Wu. Výzkumníci, které oslovil The Record, zpochybňují tvrzení burzy, že prostředky klientů nebyly zasaženy. Formálně má burza pravdu: mince na vkladových adresách drží ona a klient má jen záznam o zůstatku. Právě proto ale vše závisí na tom, zda svůj slib dodrží.
Kolik zmizelo: 30 až 49 milionů dolarů
- AuditKey: 30,3 mil. USD, započítány jen tokeny se spolehlivou cenou.
- Hypernative: přes 40 mil. USD nejméně v deseti sítích.
- Bitquery: 48,6 mil. USD, bez tokenu EVA 47,4 mil. USD.
- Chainalysis, na kterou se burza obrátila o pomoc: zhruba 49 mil. USD v 17 sítích. Podle Bitquery jsou mezi těmito 17 sítěmi i ty, kde se pohybovaly peníze z cizích peněženek, kdežto ztráty samotné burzy se týkají deseti.
Sama Mercado Bitcoin ve večerní aktualizaci uvedla dvě čísla: asi 11 mil. USD zablokováno, asi 38 mil. USD „zatím nezablokováno“. Dohromady zhruba 49 mil. USD. Některá média vydávala 38 mil. USD za celkovou ztrátu. Ve skutečnosti jde jen o nezmrazenou část. Podle Hypernative je mezi ukradenými aktivy 106 BTC, 2 852 ETH, 10,7 tisíce SOL, 6,7 milionu XLM, 1,7 milionu TRX a přes dvě stě dalších tokenů. Bitcoiny se podle Bitquery zatím nepohnuly.
Zmrazení: tentokrát pomohlo
Tether provedl první blokaci ve 13:21 moskevského času, Circle se přidal zhruba o šest hodin později. Bitquery napočítala 11,4 mil. USD zmrazených prostředků: 5,9 mil. USD u Tetheru, 3,9 mil. USD u Circle, 1,5 mil. USD u Paxosu a asi 145 tisíc USD u Agory a Ripplu. Dalších 358 tisíc EURC zůstávalo nezmrazených. Chainalysis uvádí jiná čísla: téměř 10 mil. USD, z toho přes 9 mil. USD u Tetheru. Sladit tyto údaje se zatím nedaří.
Zde zmrazení posloužilo poškozeným. Je to ale stejné tlačítko: emitent může zastavit USDT nebo USDC na jakékoli adrese, i na té vaší, a rozhoduje o tom on. BTC, ETH, SOL a XLM nezmrazí nikdo, a proto útočník většinu kořisti v klidu směňoval přes směnárenské služby Mayan a Bridgers.
Slib bez krytí
Burza opakuje, že klienti nic neztratí. Odkud peníze vezme a do kdy, neříká: ani slovo o rezervách, pojištění či akcionářích. Výběry obnoví, „až to bude bezpečné“. Brazilská centrální banka, komise pro cenné papíry a federální policie se do rána 3. listopadu veřejně nevyjádřily. Burza zvlášť varuje před podvodníky, kteří nabízejí „pomoc s vrácením prostředků“. Pokud jste klientem Mercado Bitcoin, na takové nabídky nereagujte a na staré vkladové adresy nic neposílejte, dokud burza neoznámí, že jsou bezpečné.
Otevřené otázky
- Jak útočník získal oprávnění k podpisu: přes klíče, podpisový systém, zaměstnance, nebo dodavatele?
- Proč burza označila útok za lokalizovaný, když výběry z adres klientů pokračovaly ještě čtyři hodiny?
- Byly klíče vkladových adres vyměněny a lze znovu vkládat podle starých údajů?
- Z jakých peněz burza pokryje nezmrazených 38 mil. USD?
- Kdy a v jakém pořadí budou výběry obnoveny?
- Jaká je konečná částka a kolik sítí bylo zasaženo: deset, nebo sedmnáct?
Co z toho plyne
Zůstatek na burze je slib burzy. Dokud jsou výběry zavřené, vaše mince existují jen jako řádek v její databázi a přístup k nim dostanete zpět, až o tom rozhodne ona. Na burze držte to, s čím obchodujete, a zbytek v peněžence, ke které máte klíče jen vy. Počítejte přitom s tím, že stablecoiny může emitent zmrazit i ve vaší vlastní peněžence.
Pro kontext: o tři dny dříve oznámila Chainalysis průnik do vlastních systémů – tedy právě ta společnost, která teď pomáhá Mercado Bitcoin sledovat ukradené prostředky.