เมื่อวันที่ 2 พฤศจิกายน มิจฉาชีพถอนสินทรัพย์ออกจากฮอตวอลเล็ตของ Mercado Bitcoin กระดานเทรดคริปโตที่เก่าแก่และใหญ่ที่สุดในบราซิล พร้อมกันใน 10 เครือข่ายบล็อกเชน ตัวเลขความเสียหายที่ประเมินไว้อยู่ระหว่าง 30 ถึง 49 ล้านดอลลาร์ กระดานเทรดระงับการฝากและถอนเงิน และไม่ระบุว่าจะเปิดอีกครั้งเมื่อใด เช้าวันที่ 3 พฤศจิกายน แพลตฟอร์มยังอยู่ระหว่างปิดปรับปรุง
Mercado Bitcoin เปิดให้บริการมาตั้งแต่ปี 2013 และเรียกตัวเองว่าโบรกเกอร์คริปโตรายแรกของประเทศ จำนวนลูกค้าอยู่ที่ 4.5–4.8 ล้านราย แล้วแต่แหล่งข้อมูล เมื่อวันที่ 27 ตุลาคม กระดานเทรดยื่นขอใบอนุญาตจากธนาคารกลางบราซิล และในเดือนกรกฎาคม Tether เข้าถือหุ้นส่วนน้อยในบริษัทโฮลดิ้ง 2TM
เกิดอะไรขึ้น
ตามข้อมูลของ AuditKey การเตรียมการเริ่มตั้งแต่วันที่ 1 พฤศจิกายน เวลาประมาณ 21:20 น. ตามเวลามอสโก การโอนครั้งแรกเกิดขึ้นเวลา 04:36 น. บนเครือข่าย Arbitrum จากนั้น ตามที่ดิกสัน วู นักวิเคราะห์ของ CertiK อธิบาย ผู้โจมตีใช้เวลาราวสี่ชั่วโมงทดลองโอนเงินจำนวนน้อยบนเครือข่ายเล็ก ๆ การถอนหลักใช้เวลาประมาณครึ่งชั่วโมง ตั้งแต่ 09:19 ถึง 09:53 น. ฮอตวอลเล็ตว่างเปล่าใน 10 เครือข่าย รวมถึง Bitcoin, Ethereum, Solana, Stellar, Tron และ Avalanche
กรณีนี้ไม่มีช่องโหว่ของสมาร์ตคอนแทรกต์ ทั้งหมดเป็นการโอนธรรมดาที่ลงนามด้วยคีย์ที่ใช้งานได้จริงของกระดานเทรด ยังไม่ทราบว่าผู้โจมตีได้สิทธิ์ลงนามมาอย่างไร AuditKey ย้ำว่า ดูจากบล็อกเชนอย่างเดียวไม่สามารถแยกได้ว่าเป็นการแฮ็กจากภายนอก การกระทำของคนใน หรือความผิดพลาดของผู้รับเหมา
“ควบคุมได้แล้ว” แต่การถอนยังดำเนินต่อ
เวลา 15:56 น. ตามเวลามอสโก Mercado Bitcoin แถลงว่าตรวจพบเหตุการณ์ใน “ระบบหนึ่ง” และควบคุมได้อย่างรวดเร็ว ลูกค้าจะไม่สูญเสียอะไร และไม่มีข้อมูลรั่วไหล แต่บนบล็อกเชนกลับเป็นอีกเรื่อง ตามการนับของ Bitquery ระหว่าง 15:27 ถึง 19:56 น. ผู้โจมตีถอนเงินจากที่อยู่ฝากเงินของลูกค้าบน Ethereum จนว่างไป 36,042 ที่อยู่ และบน BNB Chain ยังกวาดอีก 143 ที่อยู่จนถึง 21:08 น. นั่นคือยังถอนเงินต่อไปอีกราวสี่ชั่วโมงหลังคำแถลงของกระดานเทรด
จำนวนเงินส่วนนี้ไม่มาก ราว 266,000 ดอลลาร์ เพราะ 91% ของที่อยู่เหล่านี้มีเงินไม่ถึง 10 ดอลลาร์ ที่สำคัญกว่าคือ ผู้โจมตีมีคีย์ไม่ใช่แค่ของฮอตวอลเล็ต แต่รวมถึงที่อยู่ที่ลูกค้าใช้เติมเงินเข้าบัญชีด้วย “ใครก็ตามที่ทำเรื่องนี้ สามารถถอนเงินจากที่อยู่ฝากเงินของลูกค้าได้ด้วย” วูกล่าว นักวิจัยที่ The Record สัมภาษณ์โต้แย้งคำยืนยันของกระดานเทรดว่าเงินของลูกค้าไม่ได้รับผลกระทบ ในทางรูปแบบ กระดานเทรดพูดถูก เพราะเหรียญในที่อยู่ฝากเงินอยู่ในความดูแลของกระดานเทรด ลูกค้ามีเพียงบันทึกยอดคงเหลือ แต่นั่นเองที่ทำให้ทุกอย่างขึ้นอยู่กับว่ากระดานเทรดจะรักษาสัญญาหรือไม่
ถูกขโมยไปเท่าไร: 30 ถึง 49 ล้านดอลลาร์
- AuditKey: 30.3 ล้านดอลลาร์ นับเฉพาะโทเคนที่มีราคาน่าเชื่อถือ
- Hypernative: มากกว่า 40 ล้านดอลลาร์ ในอย่างน้อย 10 เครือข่าย
- Bitquery: 48.6 ล้านดอลลาร์ ไม่รวมโทเคน EVA อยู่ที่ 47.4 ล้านดอลลาร์
- Chainalysis ซึ่งกระดานเทรดขอความช่วยเหลือ: ราว 49 ล้านดอลลาร์ใน 17 เครือข่าย ตามข้อมูลของ Bitquery 17 เครือข่ายนี้รวมเครือข่ายที่มีเงินจากกระเป๋าเงินอื่นเคลื่อนไหวด้วย ส่วนความเสียหายของกระดานเทรดเองเกิดใน 10 เครือข่าย
ในอัปเดตช่วงค่ำ Mercado Bitcoin เองให้ตัวเลขสองตัว คือ ราว 11 ล้านดอลลาร์ถูกบล็อกแล้ว และราว 38 ล้านดอลลาร์ “ยังไม่ถูกบล็อก” รวมกันประมาณ 49 ล้านดอลลาร์ สื่อบางแห่งรายงานว่า 38 ล้านดอลลาร์คือความเสียหายทั้งหมด แต่จริง ๆ แล้วเป็นเพียงส่วนที่ยังไม่ถูกอายัด ตามข้อมูลของ Hypernative สินทรัพย์ที่ถูกขโมยมี 106 BTC, 2,852 ETH, 10,700 SOL, 6.7 ล้าน XLM, 1.7 ล้าน TRX และโทเคนอื่นอีกกว่าสองร้อยรายการ ตามข้อมูลของ Bitquery บิตคอยน์ยังไม่ถูกเคลื่อนย้าย
การอายัด: ครั้งนี้ช่วยได้
Tether บล็อกครั้งแรกเวลา 13:21 น. ตามเวลามอสโก ส่วน Circle เข้าร่วมราวหกชั่วโมงต่อมา Bitquery นับเงินที่ถูกอายัดได้ 11.4 ล้านดอลลาร์ ได้แก่ 5.9 ล้านดอลลาร์ที่ Tether, 3.9 ล้านดอลลาร์ที่ Circle, 1.5 ล้านดอลลาร์ที่ Paxos และราว 145,000 ดอลลาร์ที่ Agora และ Ripple ยังมีอีก 358,000 EURC ที่ไม่ถูกอายัด Chainalysis ให้ตัวเลขต่างออกไป คือเกือบ 10 ล้านดอลลาร์ ในจำนวนนี้กว่า 9 ล้านดอลลาร์อยู่ที่ Tether ขณะนี้ยังไม่สามารถกระทบยอดข้อมูลทั้งสองชุดได้
ครั้งนี้การอายัดเป็นประโยชน์ต่อผู้เสียหาย แต่มันคือปุ่มเดียวกัน ผู้ออกเหรียญสามารถหยุด USDT หรือ USDC ได้ในทุกที่อยู่ รวมถึงที่อยู่ของคุณ และผู้ตัดสินใจก็คือผู้ออกเหรียญ ส่วน BTC, ETH, SOL และ XLM ไม่มีใครอายัดได้ ผู้โจมตีจึงแลกของที่ขโมยมาส่วนใหญ่ผ่านบริการแลกเปลี่ยน Mayan และ Bridgers ได้อย่างสบาย ๆ
คำสัญญาที่ไม่บอกที่มา
กระดานเทรดย้ำซ้ำว่าลูกค้าจะไม่สูญเสียอะไร แต่ไม่บอกว่าเงินจะมาจากไหนและภายในเมื่อไร ไม่พูดถึงทั้งเงินสำรอง ประกัน หรือผู้ถือหุ้น การถอนเงินจะกลับมา “เมื่อปลอดภัย” จนถึงเช้าวันที่ 3 พฤศจิกายน ธนาคารกลางบราซิล คณะกรรมการกำกับหลักทรัพย์ และตำรวจสหพันธ์ยังไม่แสดงความเห็นต่อสาธารณะ กระดานเทรดยังเตือนเรื่องมิจฉาชีพที่เสนอ “ช่วยกู้คืนเงิน” หากคุณเป็นลูกค้า Mercado Bitcoin อย่าตอบรับข้อเสนอเช่นนี้ และอย่าส่งสิ่งใดไปยังที่อยู่ฝากเงินเดิมจนกว่ากระดานเทรดจะประกาศว่าปลอดภัยแล้ว
คำถามที่ยังไม่มีคำตอบ
- ผู้โจมตีได้สิทธิ์ลงนามมาอย่างไร: ผ่านคีย์ ระบบลงนาม พนักงาน หรือผู้รับเหมา?
- ทำไมกระดานเทรดจึงบอกว่าควบคุมการโจมตีได้แล้ว ทั้งที่การถอนจากที่อยู่ของลูกค้ายังดำเนินต่ออีกสี่ชั่วโมง?
- คีย์ของที่อยู่ฝากเงินถูกเปลี่ยนแล้วหรือยัง และกลับมาเติมเงินด้วยข้อมูลเดิมได้หรือไม่?
- กระดานเทรดจะใช้เงินจากไหนชดเชย 38 ล้านดอลลาร์ที่ยังไม่ถูกอายัด?
- การถอนเงินจะกลับมาเมื่อไรและตามลำดับใด?
- ยอดสุดท้ายเป็นเท่าไร และมีกี่เครือข่ายที่ได้รับผลกระทบ: 10 หรือ 17?
บทเรียนจากเรื่องนี้
ยอดเงินบนกระดานเทรดคือคำสัญญาของกระดานเทรด ตราบใดที่การถอนยังปิดอยู่ เหรียญของคุณมีอยู่เพียงในรูปแถวหนึ่งในฐานข้อมูลของกระดานเทรด และคุณจะเข้าถึงได้อีกครั้งเมื่อกระดานเทรดตัดสินใจ เก็บไว้บนกระดานเทรดเฉพาะส่วนที่ใช้เทรด ที่เหลือเก็บในกระเป๋าเงินที่มีเพียงคุณถือคีย์ แต่พึงระลึกว่า ผู้ออกเหรียญสามารถอายัดสเตเบิลคอยน์ได้แม้อยู่ในกระเป๋าเงินของคุณเอง
เพื่อเป็นบริบท: สามวันก่อนหน้านั้น Chainalysis ประกาศว่าระบบของตนเองถูกเจาะ ซึ่งก็คือบริษัทเดียวกับที่ตอนนี้ช่วย Mercado Bitcoin ติดตามเงินที่ถูกขโมย