2 ноября жулики вывели активы с горячих кошельков Mercado Bitcoin, старейшей и крупнейшей криптобиржи Бразилии, сразу в десяти блокчейн-сетях. Оценки ущерба расходятся: от $30 млн до $49 млн. Биржа остановила ввод и вывод средств и не называет, когда их вернёт. Утром 3 ноября платформа всё ещё стояла на техническом обслуживании.
Mercado Bitcoin работает с 2013 года и называет себя первым криптоброкером страны. Клиентов у неё, по разным данным, от 4,5 до 4,8 млн. 27 октября биржа подала заявку на лицензию Центрального банка Бразилии. В июле миноритарным акционером её холдинга 2TM стала Tether.
Как это было
По данным AuditKey, подготовка началась ещё 1 ноября около 21:20 по Москве. Первый перевод ушёл в 04:36 в сети Arbitrum. Затем, как описывает аналитик CertiK Диксон Ву, атакующий около четырёх часов пробовал мелкие суммы в небольших сетях. Основной вывод занял примерно полчаса, с 09:19 до 09:53: горячие кошельки опустели в десяти сетях, в том числе в Bitcoin, Ethereum, Solana, Stellar, Tron и Avalanche.
Уязвимостей в смарт-контрактах здесь не было. Это обычные переводы, подписанные действующими ключами биржи. Как атакующий получил право подписи, неизвестно. AuditKey подчёркивает: по блокчейну нельзя отличить внешний взлом от действий инсайдера или сбоя у подрядчика.
«Атака локализована», а вывод продолжался
В 15:56 по Москве Mercado Bitcoin сообщила, что инцидент в «одной из систем» выявлен и быстро локализован, клиенты ничего не потеряют, а данные не утекли. На блокчейне в это время происходило другое. По подсчёту Bitquery, с 15:27 до 19:56 атакующий опустошил 36 042 депозитных адреса клиентов в Ethereum, а в BNB Chain выметал ещё 143 адреса до 21:08. То есть он продолжал выводить средства ещё около четырёх часов после заявления биржи.
Сумма здесь небольшая, около $266 тыс.: на 91% этих адресов лежало меньше $10. Важнее другое. У атакующего оказались ключи не только от горячих кошельков, но и от адресов, на которые клиенты пополняют счёт. «Тот, кто это сделал, может выводить деньги и с клиентских депозитных адресов», — говорит Ву. Исследователи, опрошенные The Record, оспаривают слова биржи о том, что средства клиентов не затронуты. Формально биржа права: монеты на депозитных адресах хранит она, а у клиента есть лишь запись о балансе. Но именно поэтому всё зависит от того, сдержит ли она обещание.
Сколько унесли: от $30 до $49 млн
- AuditKey: $30,3 млн. Учтены только токены с надёжной ценой.
- Hypernative: больше $40 млн минимум в десяти сетях.
- Bitquery: $48,6 млн, без токена EVA — $47,4 млн.
- Chainalysis, к которой биржа обратилась за помощью: около $49 млн в 17 сетях. По версии Bitquery, в эти 17 сетей попали и те, где двигались деньги с посторонних кошельков, а потери самой биржи пришлись на десять.
Сама Mercado Bitcoin в вечернем обновлении назвала две цифры: около $11 млн заблокировано, около $38 млн «ещё не заблокировано». Вместе это примерно $49 млн. Часть изданий выдала $38 млн за всю сумму потерь. На самом деле это только незамороженная часть. По данным Hypernative, среди украденного 106 BTC, 2852 ETH, 10,7 тыс. SOL, 6,7 млн XLM, 1,7 млн TRX и больше двухсот других токенов. Биткоины, по данным Bitquery, пока не двигались.
Заморозка: на этот раз помогла
Первую блокировку Tether провела в 13:21 по Москве, Circle подключилась примерно через шесть часов. Bitquery насчитала $11,4 млн замороженных средств: $5,9 млн у Tether, $3,9 млн у Circle, $1,5 млн у Paxos и около $145 тыс. у Agora и Ripple. Ещё 358 тыс. EURC оставались незамороженными. Chainalysis приводит другие цифры: почти $10 млн, из них у Tether больше $9 млн. Свести эти данные пока не удаётся.
Здесь заморозка сработала в пользу пострадавших. Но это одна и та же кнопка: эмитент может остановить USDT или USDC на любом адресе, в том числе на вашем, и решение принимает он. BTC, ETH, SOL и XLM не может заморозить никто, поэтому основную часть добычи атакующий спокойно обменивал через сервисы обмена Mayan и Bridgers.
Обещание без источника
Биржа повторяет, что клиенты ничего не потеряют. Откуда возьмутся деньги и к какому сроку, она не говорит: ни про резервы, ни про страховку, ни про акционеров. Вывод вернут, «когда это будет безопасно». Центральный банк Бразилии, Комиссия по ценным бумагам и Федеральная полиция к утру 3 ноября публично не высказались. Биржа отдельно предупреждает о мошенниках, которые предлагают «помочь вернуть средства». Если вы клиент Mercado Bitcoin, не отвечайте на такие предложения и не отправляйте ничего на старые депозитные адреса, пока биржа не объявит, что они безопасны.
Открытые вопросы
- Как атакующий получил право подписи: через ключи, систему подписи, сотрудника или подрядчика?
- Почему биржа назвала атаку локализованной, если вывод с клиентских адресов шёл ещё четыре часа?
- Заменены ли ключи депозитных адресов, и можно ли снова пополнять счёт по старым реквизитам?
- Из каких денег биржа покроет незамороженные $38 млн?
- Когда и в каком порядке вернут вывод?
- Какова итоговая сумма и сколько сетей затронуто: десять или семнадцать?
Что из этого следует
Баланс на бирже — это обещание биржи. Пока вывод закрыт, ваши монеты существуют только как строка в её базе данных, и доступ к ним вернут тогда, когда решит она. Держите на бирже то, чем торгуете, а остальное — в кошельке, ключи от которого есть только у вас. Учтите при этом, что стейблкоины эмитент может заморозить и в вашем собственном кошельке.
Для контекста: за три дня до этого о взломе собственных систем сообщила Chainalysis — та самая компания, которая теперь помогает Mercado Bitcoin отслеживать украденное.