Größte Kryptobörse Brasiliens um bis zu 49 Millionen Dollar gehackt. Der Angreifer signierte sogar Überweisungen von Kundenadressen

Am 2. November haben Kriminelle Vermögenswerte aus den Hot Wallets von Mercado Bitcoin, der ältesten und größten Kryptobörse Brasiliens, abgezogen – gleich in zehn Blockchain-Netzwerken. Die Schätzungen des Schadens reichen von 30 bis 49 Mio. $. Die Börse hat Ein- und Auszahlungen gestoppt und nennt keinen Termin für die Wiederaufnahme. Am Morgen des 3. November befand sich die Plattform noch immer im Wartungsmodus.

Mercado Bitcoin ist seit 2013 am Markt und bezeichnet sich als ersten Krypto-Broker des Landes. Je nach Quelle hat die Börse 4,5 bis 4,8 Millionen Kunden. Am 27. Oktober beantragte sie eine Lizenz bei der brasilianischen Zentralbank. Im Juli stieg Tether als Minderheitsaktionär bei ihrer Holding 2TM ein.

Wie es ablief

Laut AuditKey begannen die Vorbereitungen bereits am 1. November gegen 21:20 Uhr Moskauer Zeit. Die erste Überweisung ging um 04:36 Uhr im Arbitrum-Netzwerk hinaus. Danach testete der Angreifer, wie CertiK-Analyst Dixon Wu beschreibt, rund vier Stunden lang kleine Beträge in kleineren Netzwerken. Der Hauptabfluss dauerte etwa eine halbe Stunde, von 09:19 bis 09:53 Uhr: Die Hot Wallets wurden in zehn Netzwerken geleert, darunter Bitcoin, Ethereum, Solana, Stellar, Tron und Avalanche.

Schwachstellen in Smart Contracts spielten keine Rolle. Es waren gewöhnliche Überweisungen, signiert mit gültigen Schlüsseln der Börse. Wie der Angreifer an die Signaturberechtigung kam, ist unbekannt. AuditKey betont: Anhand der Blockchain lässt sich ein Angriff von außen nicht von einem Insider oder einer Panne bei einem Dienstleister unterscheiden.

„Eingedämmt“ – und der Abfluss ging weiter

Um 15:56 Uhr Moskauer Zeit teilte Mercado Bitcoin mit, ein Vorfall in „einem der Systeme“ sei erkannt und rasch eingedämmt worden, Kunden würden nichts verlieren und Daten seien nicht abgeflossen. Auf der Blockchain sah es anders aus. Nach Zählung von Bitquery leerte der Angreifer von 15:27 bis 19:56 Uhr 36.042 Einzahlungsadressen von Kunden im Ethereum-Netzwerk und räumte bis 21:08 Uhr weitere 143 Adressen in der BNB Chain ab. Er zog also noch rund vier Stunden nach der Erklärung der Börse Geld ab.

Die Summe ist hier gering, etwa 266.000 $: Auf 91 % dieser Adressen lagen weniger als 10 $. Wichtiger ist etwas anderes. Der Angreifer hatte nicht nur die Schlüssel zu den Hot Wallets, sondern auch zu den Adressen, über die Kunden ihr Konto aufladen. „Wer das getan hat, kann auch von den Einzahlungsadressen der Kunden abheben“, sagt Wu. Von The Record befragte Forscher bestreiten die Aussage der Börse, Kundengelder seien nicht betroffen. Formal hat die Börse recht: Die Coins auf den Einzahlungsadressen verwahrt sie selbst, der Kunde hat nur einen Saldoeintrag. Genau deshalb hängt alles davon ab, ob sie ihr Versprechen hält.

Wie viel erbeutet wurde: 30 bis 49 Mio. $

• AuditKey: 30,3 Mio. $, berücksichtigt sind nur Token mit verlässlichem Preis.
• Hypernative: mehr als 40 Mio. $ in mindestens zehn Netzwerken.
• Bitquery: 48,6 Mio. $, ohne den Token EVA 47,4 Mio. $.
• Chainalysis, an die sich die Börse um Hilfe gewandt hat: rund 49 Mio. $ in 17 Netzwerken. Laut Bitquery zählen zu diesen 17 auch Netzwerke, in denen Geld von fremden Wallets bewegt wurde; die Verluste der Börse selbst verteilen sich auf zehn.

Mercado Bitcoin selbst nannte im Abend-Update zwei Zahlen: rund 11 Mio. $ gesperrt, rund 38 Mio. $ „noch nicht gesperrt“. Zusammen sind das etwa 49 Mio. $. Manche Medien gaben 38 Mio. $ als Gesamtschaden an. Tatsächlich ist das nur der nicht eingefrorene Teil. Laut Hypernative gehören zur Beute 106 BTC, 2.852 ETH, 10.700 SOL, 6,7 Mio. XLM, 1,7 Mio. TRX und mehr als zweihundert weitere Token. Die Bitcoins wurden laut Bitquery bisher nicht bewegt.

Einfrieren: diesmal ein Vorteil

Tether sperrte erstmals um 13:21 Uhr Moskauer Zeit, Circle zog etwa sechs Stunden später nach. Bitquery zählte 11,4 Mio. $ an eingefrorenen Mitteln: 5,9 Mio. $ bei Tether, 3,9 Mio. $ bei Circle, 1,5 Mio. $ bei Paxos und rund 145.000 $ bei Agora und Ripple. Weitere 358.000 EURC blieben ungesperrt. Chainalysis nennt andere Zahlen: knapp 10 Mio. $, davon mehr als 9 Mio. $ bei Tether. Abgleichen lassen sich diese Angaben bislang nicht.

Hier hat das Einfrieren den Geschädigten genützt. Doch es ist derselbe Knopf: Ein Emittent kann USDT oder USDC auf jeder Adresse stoppen, auch auf Ihrer, und die Entscheidung trifft er allein. BTC, ETH, SOL und XLM kann niemand einfrieren – deshalb tauschte der Angreifer den Großteil der Beute in aller Ruhe über die Tauschdienste Mayan und Bridgers.

Ein Versprechen ohne Deckung

Die Börse wiederholt, Kunden würden nichts verlieren. Woher das Geld kommen soll und bis wann, sagt sie nicht: kein Wort zu Reserven, Versicherung oder Aktionären. Auszahlungen soll es wieder geben, „wenn es sicher ist“. Die brasilianische Zentralbank, die Wertpapieraufsicht und die Bundespolizei hatten sich bis zum Morgen des 3. November nicht öffentlich geäußert. Die Börse warnt eigens vor Betrügern, die anbieten, „beim Zurückholen der Gelder zu helfen“. Wenn Sie Kunde von Mercado Bitcoin sind, reagieren Sie nicht auf solche Angebote und senden Sie nichts an alte Einzahlungsadressen, bis die Börse sie für sicher erklärt.

Offene Fragen

• Wie kam der Angreifer an die Signaturberechtigung: über Schlüssel, das Signatursystem, einen Mitarbeiter oder einen Dienstleister?
• Warum nannte die Börse den Angriff eingedämmt, wenn der Abfluss von Kundenadressen noch vier Stunden weiterlief?
• Wurden die Schlüssel der Einzahlungsadressen ausgetauscht, und kann man das Konto wieder mit den alten Daten aufladen?
• Aus welchen Mitteln deckt die Börse die nicht eingefrorenen 38 Mio. $?
• Wann und in welcher Reihenfolge werden Auszahlungen wieder möglich?
• Wie hoch ist die endgültige Summe, und wie viele Netzwerke sind betroffen: zehn oder siebzehn?

Was daraus folgt

Ein Guthaben auf einer Börse ist ein Versprechen der Börse. Solange Auszahlungen gesperrt sind, existieren Ihre Coins nur als Zeile in ihrer Datenbank, und Zugriff bekommen Sie wieder, wenn sie es so entscheidet. Halten Sie auf der Börse nur, womit Sie handeln, und den Rest in einer Wallet, deren Schlüssel nur Sie besitzen. Bedenken Sie dabei: Stablecoins kann der Emittent auch in Ihrer eigenen Wallet einfrieren.

Zur Einordnung: Drei Tage zuvor meldete Chainalysis einen Einbruch in die eigenen Systeme – genau das Unternehmen, das Mercado Bitcoin jetzt hilft, die gestohlenen Mittel zu verfolgen.