Le 2 novembre, des escrocs ont retiré des actifs des hot wallets de Mercado Bitcoin, la plus ancienne et la plus grande plateforme d’échange crypto du Brésil, dans dix réseaux blockchain à la fois. Les estimations du préjudice vont de 30 à 49 millions de dollars. La plateforme a suspendu dépôts et retraits et ne dit pas quand ils reprendront. Le matin du 3 novembre, elle était toujours en maintenance.
Mercado Bitcoin existe depuis 2013 et se présente comme le premier courtier crypto du pays. Selon les sources, elle compte entre 4,5 et 4,8 millions de clients. Le 27 octobre, elle a déposé une demande de licence auprès de la Banque centrale du Brésil. En juillet, Tether est devenu actionnaire minoritaire de sa holding, 2TM.
Le déroulement
Selon AuditKey, les préparatifs ont commencé dès le 1er novembre vers 21 h 20, heure de Moscou. Le premier transfert est parti à 4 h 36 sur Arbitrum. Ensuite, comme le décrit Dixon Wu, analyste chez CertiK, l’attaquant a testé de petits montants sur des réseaux secondaires pendant environ quatre heures. Le retrait principal a duré une demi-heure environ, de 9 h 19 à 9 h 53 : les hot wallets ont été vidés dans dix réseaux, dont Bitcoin, Ethereum, Solana, Stellar, Tron et Avalanche.
Aucune faille de smart contract n’est en cause. Il s’agit de transferts ordinaires, signés avec les clés valides de la plateforme. On ignore comment l’attaquant a obtenu le droit de signer. AuditKey souligne que la blockchain ne permet pas de distinguer un piratage externe d’un acte d’initié ou d’une défaillance chez un prestataire.
« Maîtrisée », pendant que les retraits continuaient
À 15 h 56, heure de Moscou, Mercado Bitcoin a annoncé qu’un incident dans « l’un de ses systèmes » avait été détecté et rapidement maîtrisé, que les clients ne perdraient rien et qu’aucune donnée n’avait fuité. Sur la blockchain, c’était une autre histoire. D’après le décompte de Bitquery, de 15 h 27 à 19 h 56, l’attaquant a vidé 36 042 adresses de dépôt de clients sur Ethereum, puis balayé 143 autres adresses sur BNB Chain jusqu’à 21 h 08. Autrement dit, il a continué à retirer des fonds environ quatre heures après la déclaration de la plateforme.
La somme est ici modeste, environ 266 000 $ : 91 % de ces adresses contenaient moins de 10 $. L’essentiel est ailleurs. L’attaquant détenait les clés non seulement des hot wallets, mais aussi des adresses sur lesquelles les clients alimentent leur compte. « Celui qui a fait cela peut aussi retirer depuis les adresses de dépôt des clients », affirme Wu. Des chercheurs interrogés par The Record contestent l’affirmation de la plateforme selon laquelle les fonds des clients n’ont pas été touchés. Formellement, la plateforme a raison : c’est elle qui détient les cryptos sur les adresses de dépôt, le client n’a qu’une ligne de solde. Mais c’est justement pour cela que tout dépend de sa capacité à tenir sa promesse.
Combien a été dérobé : de 30 à 49 M$
- AuditKey : 30,3 M$, en ne comptant que les jetons dont le prix est fiable.
- Hypernative : plus de 40 M$ dans au moins dix réseaux.
- Bitquery : 48,6 M$, soit 47,4 M$ hors jeton EVA.
- Chainalysis, à laquelle la plateforme a demandé de l’aide : environ 49 M$ dans 17 réseaux. Selon Bitquery, ces 17 réseaux incluent ceux où ont circulé des fonds provenant de portefeuilles tiers, les pertes de la plateforme elle-même portant sur dix.
Dans sa mise à jour du soir, Mercado Bitcoin a elle-même donné deux chiffres : environ 11 M$ bloqués et environ 38 M$ « pas encore bloqués ». Soit près de 49 M$ au total. Certains médias ont présenté les 38 M$ comme le montant total des pertes. En réalité, c’est seulement la part non gelée. Selon Hypernative, le butin comprend 106 BTC, 2 852 ETH, 10 700 SOL, 6,7 millions de XLM, 1,7 million de TRX et plus de deux cents autres jetons. Selon Bitquery, les bitcoins n’ont pas encore bougé.
Le gel : cette fois, il a servi
Tether a effectué son premier blocage à 13 h 21, heure de Moscou ; Circle a suivi environ six heures plus tard. Bitquery a compté 11,4 M$ de fonds gelés : 5,9 M$ chez Tether, 3,9 M$ chez Circle, 1,5 M$ chez Paxos et environ 145 000 $ chez Agora et Ripple. 358 000 EURC restaient non gelés. Chainalysis avance d’autres chiffres : près de 10 M$, dont plus de 9 M$ chez Tether. Ces données ne concordent pas encore.
Ici, le gel a joué en faveur des victimes. Mais c’est le même bouton : un émetteur peut bloquer des USDT ou des USDC sur n’importe quelle adresse, y compris la vôtre, et c’est lui qui décide. Personne ne peut geler des BTC, des ETH, des SOL ou des XLM : c’est pourquoi l’attaquant a tranquillement échangé l’essentiel du butin via les services d’échange Mayan et Bridgers.
Une promesse sans financement
La plateforme répète que les clients ne perdront rien. D’où viendra l’argent et dans quels délais, elle ne le dit pas : rien sur ses réserves, une assurance ou ses actionnaires. Les retraits reprendront « quand ce sera sûr ». Au matin du 3 novembre, la Banque centrale du Brésil, le régulateur boursier et la Police fédérale ne s’étaient pas exprimés publiquement. La plateforme met par ailleurs en garde contre des escrocs qui proposent d’« aider à récupérer les fonds ». Si vous êtes client de Mercado Bitcoin, ne répondez pas à ce type d’offres et n’envoyez rien vers les anciennes adresses de dépôt tant que la plateforme n’a pas annoncé qu’elles sont sûres.
Questions ouvertes
- Comment l’attaquant a-t-il obtenu le droit de signer : via les clés, le système de signature, un employé ou un prestataire ?
- Pourquoi la plateforme a-t-elle qualifié l’attaque de maîtrisée alors que les retraits depuis les adresses des clients ont duré encore quatre heures ?
- Les clés des adresses de dépôt ont-elles été remplacées, et peut-on de nouveau alimenter son compte avec les anciennes coordonnées ?
- Avec quel argent la plateforme couvrira-t-elle les 38 M$ non gelés ?
- Quand et dans quel ordre les retraits reprendront-ils ?
- Quel est le montant final, et combien de réseaux sont touchés : dix ou dix-sept ?
Ce qu’il faut en retenir
Un solde sur une plateforme d’échange est une promesse de cette plateforme. Tant que les retraits sont fermés, vos cryptos n’existent que sous la forme d’une ligne dans sa base de données, et vous y aurez de nouveau accès quand elle le décidera. Gardez sur la plateforme ce que vous tradez, et le reste dans un portefeuille dont vous seul détenez les clés. Sachez toutefois que l’émetteur peut geler des stablecoins même dans votre propre portefeuille.
Pour le contexte : trois jours plus tôt, Chainalysis a annoncé le piratage de ses propres systèmes — la même entreprise qui aide aujourd’hui Mercado Bitcoin à pister les fonds volés.