Pada 2 November, penjahat menarik aset dari hot wallet Mercado Bitcoin, bursa kripto tertua dan terbesar di Brasil, di sepuluh jaringan blockchain sekaligus. Perkiraan kerugian berkisar antara US$30 juta dan US$49 juta. Bursa menghentikan setoran dan penarikan dan tidak menyebutkan kapan layanan itu dibuka kembali. Pada pagi 3 November, platform masih dalam pemeliharaan.
Mercado Bitcoin beroperasi sejak 2013 dan menyebut dirinya pialang kripto pertama di negara itu. Menurut berbagai sumber, nasabahnya 4,5 hingga 4,8 juta orang. Pada 27 Oktober, bursa ini mengajukan izin ke Bank Sentral Brasil. Pada Juli, Tether menjadi pemegang saham minoritas di perusahaan induknya, 2TM.
Bagaimana kejadiannya
Menurut AuditKey, persiapan sudah dimulai pada 1 November sekitar pukul 21.20 waktu Moskow. Transfer pertama keluar pukul 04.36 di jaringan Arbitrum. Lalu, seperti dijelaskan analis CertiK Dixon Wu, penyerang menghabiskan sekitar empat jam menguji jumlah kecil di jaringan-jaringan kecil. Penarikan utama berlangsung sekitar setengah jam, dari pukul 09.19 hingga 09.53: hot wallet dikosongkan di sepuluh jaringan, termasuk Bitcoin, Ethereum, Solana, Stellar, Tron, dan Avalanche.
Tidak ada celah smart contract di sini. Semuanya transfer biasa yang ditandatangani dengan kunci sah milik bursa. Bagaimana penyerang memperoleh hak tanda tangan, tidak diketahui. AuditKey menegaskan: dari blockchain, peretasan dari luar tidak bisa dibedakan dari ulah orang dalam atau kegagalan di pihak kontraktor.
“Serangan terlokalisasi”, tetapi penarikan berlanjut
Pukul 15.56 waktu Moskow, Mercado Bitcoin mengumumkan bahwa insiden di “salah satu sistem” telah terdeteksi dan cepat dilokalisasi, nasabah tidak akan rugi, dan tidak ada data yang bocor. Di blockchain, yang terjadi lain. Menurut hitungan Bitquery, dari pukul 15.27 hingga 19.56 penyerang mengosongkan 36.042 alamat deposit nasabah di Ethereum, dan di BNB Chain menyapu 143 alamat lagi hingga pukul 21.08. Artinya, ia terus menarik dana sekitar empat jam setelah pernyataan bursa.
Jumlahnya di sini kecil, sekitar US$266 ribu: 91% alamat tersebut berisi kurang dari US$10. Yang lebih penting adalah hal lain. Penyerang memegang kunci bukan hanya untuk hot wallet, tetapi juga untuk alamat yang dipakai nasabah untuk mengisi akun. “Siapa pun pelakunya, ia juga bisa menarik dana dari alamat deposit nasabah,” kata Wu. Para peneliti yang diwawancarai The Record membantah klaim bursa bahwa dana nasabah tidak terdampak. Secara formal bursa benar: koin di alamat deposit disimpan oleh bursa, sedangkan nasabah hanya punya catatan saldo. Justru karena itu, semuanya bergantung pada apakah bursa menepati janjinya.
Berapa yang dibawa kabur: US$30 juta hingga US$49 juta
- AuditKey: US$30,3 juta, hanya menghitung token dengan harga yang dapat diandalkan.
- Hypernative: lebih dari US$40 juta di setidaknya sepuluh jaringan.
- Bitquery: US$48,6 juta; tanpa token EVA, US$47,4 juta.
- Chainalysis, yang dimintai bantuan oleh bursa: sekitar US$49 juta di 17 jaringan. Menurut Bitquery, ke-17 jaringan itu mencakup jaringan tempat uang dari dompet pihak lain bergerak, sementara kerugian bursa sendiri terjadi di sepuluh jaringan.
Dalam pembaruan malamnya, Mercado Bitcoin sendiri menyebut dua angka: sekitar US$11 juta diblokir dan sekitar US$38 juta “belum diblokir”. Totalnya kira-kira US$49 juta. Sebagian media menyebut US$38 juta sebagai total kerugian. Padahal itu hanya bagian yang belum dibekukan. Menurut Hypernative, aset yang dicuri mencakup 106 BTC, 2.852 ETH, 10,7 ribu SOL, 6,7 juta XLM, 1,7 juta TRX, dan lebih dari dua ratus token lain. Menurut Bitquery, bitcoin-nya belum bergerak.
Pembekuan: kali ini membantu
Tether melakukan pemblokiran pertama pukul 13.21 waktu Moskow, Circle menyusul sekitar enam jam kemudian. Bitquery menghitung dana beku US$11,4 juta: US$5,9 juta di Tether, US$3,9 juta di Circle, US$1,5 juta di Paxos, dan sekitar US$145 ribu di Agora dan Ripple. Masih ada 358 ribu EURC yang belum dibekukan. Chainalysis memberi angka lain: hampir US$10 juta, lebih dari US$9 juta di antaranya di Tether. Data ini belum bisa dicocokkan.
Di sini pembekuan menguntungkan korban. Namun ini tombol yang sama: penerbit dapat menghentikan USDT atau USDC di alamat mana pun, termasuk alamat Anda, dan keputusannya ada di tangan penerbit. BTC, ETH, SOL, dan XLM tidak bisa dibekukan siapa pun, sehingga penyerang dengan tenang menukar sebagian besar hasil curiannya melalui layanan penukaran Mayan dan Bridgers.
Janji tanpa sumber dana
Bursa terus mengulang bahwa nasabah tidak akan rugi. Dari mana uangnya dan kapan, tidak dijelaskan: tidak ada kata soal cadangan, asuransi, atau pemegang saham. Penarikan akan dibuka kembali “saat sudah aman”. Hingga pagi 3 November, Bank Sentral Brasil, Komisi Sekuritas, dan Polisi Federal belum memberi pernyataan publik. Bursa juga memperingatkan soal penipu yang menawarkan “bantuan memulihkan dana”. Jika Anda nasabah Mercado Bitcoin, jangan menanggapi tawaran semacam itu dan jangan mengirim apa pun ke alamat deposit lama sampai bursa mengumumkan bahwa alamat tersebut aman.
Pertanyaan yang belum terjawab
- Bagaimana penyerang memperoleh hak tanda tangan: lewat kunci, sistem penandatanganan, karyawan, atau kontraktor?
- Mengapa bursa menyebut serangan sudah terlokalisasi, padahal penarikan dari alamat nasabah berlangsung empat jam lagi?
- Apakah kunci alamat deposit sudah diganti, dan apakah akun bisa diisi lagi dengan data lama?
- Dari mana bursa akan menutup US$38 juta yang belum dibekukan?
- Kapan dan dengan urutan apa penarikan dibuka kembali?
- Berapa jumlah akhirnya dan berapa jaringan yang terdampak: sepuluh atau tujuh belas?
Apa artinya
Saldo di bursa adalah janji bursa. Selama penarikan ditutup, koin Anda hanya ada sebagai satu baris di basis datanya, dan akses akan kembali saat bursa memutuskan. Simpan di bursa hanya aset yang Anda perdagangkan, sisanya di dompet yang kuncinya hanya Anda pegang. Namun perlu diingat, stablecoin bisa dibekukan penerbitnya bahkan di dompet Anda sendiri.
Sebagai konteks: tiga hari sebelumnya, Chainalysis mengumumkan pembobolan sistemnya sendiri — perusahaan yang kini membantu Mercado Bitcoin melacak dana curian.