Ngày 2/11, kẻ gian đã rút tài sản khỏi ví nóng của Mercado Bitcoin, sàn tiền mã hóa lâu đời và lớn nhất Brazil, trên mười mạng blockchain cùng lúc. Ước tính thiệt hại dao động từ 30 đến 49 triệu USD. Sàn đã dừng nạp và rút tiền và không cho biết khi nào mở lại. Sáng 3/11, nền tảng vẫn đang bảo trì.
Mercado Bitcoin hoạt động từ năm 2013 và tự giới thiệu là nhà môi giới tiền mã hóa đầu tiên của nước này. Theo các nguồn khác nhau, sàn có từ 4,5 đến 4,8 triệu khách hàng. Ngày 27/10, sàn đã nộp hồ sơ xin giấy phép của Ngân hàng Trung ương Brazil. Tháng 7, Tether trở thành cổ đông thiểu số của công ty mẹ 2TM.
Diễn biến
Theo AuditKey, việc chuẩn bị bắt đầu từ ngày 1/11, khoảng 21:20 giờ Moskva. Giao dịch đầu tiên được gửi đi lúc 04:36 trên mạng Arbitrum. Sau đó, như chuyên gia phân tích Dixon Wu của CertiK mô tả, kẻ tấn công mất khoảng bốn giờ thử các khoản nhỏ trên những mạng nhỏ. Đợt rút chính kéo dài khoảng nửa giờ, từ 09:19 đến 09:53: ví nóng bị rút sạch trên mười mạng, trong đó có Bitcoin, Ethereum, Solana, Stellar, Tron và Avalanche.
Ở đây không có lỗ hổng hợp đồng thông minh nào. Đó là những giao dịch bình thường, được ký bằng khóa hợp lệ của sàn. Kẻ tấn công có được quyền ký bằng cách nào thì chưa rõ. AuditKey nhấn mạnh: chỉ nhìn blockchain thì không thể phân biệt tấn công từ bên ngoài với hành vi của người nội bộ hay sự cố ở nhà thầu.
“Đã khoanh vùng”, nhưng việc rút tiền vẫn tiếp diễn
Lúc 15:56 giờ Moskva, Mercado Bitcoin thông báo rằng sự cố ở “một trong các hệ thống” đã được phát hiện và nhanh chóng khoanh vùng, khách hàng sẽ không mất gì và dữ liệu không bị rò rỉ. Trên blockchain, mọi chuyện lại khác. Theo tính toán của Bitquery, từ 15:27 đến 19:56, kẻ tấn công đã rút sạch 36.042 địa chỉ nạp tiền của khách hàng trên Ethereum, và trên BNB Chain còn quét thêm 143 địa chỉ đến 21:08. Tức là hắn vẫn tiếp tục rút tiền khoảng bốn giờ sau tuyên bố của sàn.
Số tiền ở đây nhỏ, khoảng 266 nghìn USD: 91% các địa chỉ này có dưới 10 USD. Điều quan trọng hơn là kẻ tấn công nắm khóa không chỉ của ví nóng mà cả của các địa chỉ mà khách hàng dùng để nạp tiền vào tài khoản. “Kẻ làm việc này cũng có thể rút tiền từ địa chỉ nạp của khách hàng,” Wu nói. Các nhà nghiên cứu được The Record phỏng vấn bác bỏ tuyên bố của sàn rằng tiền của khách hàng không bị ảnh hưởng. Về hình thức, sàn nói đúng: coin trên địa chỉ nạp là do sàn giữ, còn khách hàng chỉ có một dòng ghi số dư. Nhưng chính vì thế mà mọi thứ phụ thuộc vào việc sàn có giữ lời hứa hay không.
Bị lấy đi bao nhiêu: từ 30 đến 49 triệu USD
- AuditKey: 30,3 triệu USD, chỉ tính các token có giá đáng tin cậy.
- Hypernative: hơn 40 triệu USD trên ít nhất mười mạng.
- Bitquery: 48,6 triệu USD, không tính token EVA là 47,4 triệu USD.
- Chainalysis, đơn vị được sàn nhờ hỗ trợ: khoảng 49 triệu USD trên 17 mạng. Theo Bitquery, 17 mạng này bao gồm cả những mạng có tiền từ các ví không liên quan di chuyển, còn thiệt hại của chính sàn nằm trên mười mạng.
Trong bản cập nhật buổi tối, chính Mercado Bitcoin đưa ra hai con số: khoảng 11 triệu USD đã bị chặn, khoảng 38 triệu USD “chưa bị chặn”. Cộng lại khoảng 49 triệu USD. Một số báo đưa 38 triệu USD là tổng thiệt hại. Thực ra đó chỉ là phần chưa bị đóng băng. Theo Hypernative, tài sản bị đánh cắp gồm 106 BTC, 2.852 ETH, 10,7 nghìn SOL, 6,7 triệu XLM, 1,7 triệu TRX và hơn hai trăm token khác. Theo Bitquery, số bitcoin này vẫn chưa di chuyển.
Đóng băng: lần này đã có ích
Tether thực hiện lệnh chặn đầu tiên lúc 13:21 giờ Moskva, Circle vào cuộc khoảng sáu giờ sau. Bitquery đếm được 11,4 triệu USD bị đóng băng: 5,9 triệu USD ở Tether, 3,9 triệu USD ở Circle, 1,5 triệu USD ở Paxos và khoảng 145 nghìn USD ở Agora và Ripple. Còn 358 nghìn EURC chưa bị đóng băng. Chainalysis đưa ra số liệu khác: gần 10 triệu USD, trong đó hơn 9 triệu USD ở Tether. Hiện chưa thể khớp các số liệu này với nhau.
Ở đây, việc đóng băng có lợi cho nạn nhân. Nhưng đó vẫn là cùng một nút bấm: bên phát hành có thể chặn USDT hoặc USDC ở bất kỳ địa chỉ nào, kể cả địa chỉ của bạn, và quyền quyết định thuộc về họ. BTC, ETH, SOL và XLM thì không ai đóng băng được, vì vậy kẻ tấn công thản nhiên đổi phần lớn số tiền cướp được qua các dịch vụ hoán đổi Mayan và Bridgers.
Lời hứa không có nguồn tiền
Sàn liên tục khẳng định khách hàng sẽ không mất gì. Tiền lấy từ đâu và đến khi nào, sàn không nói: không một lời về dự trữ, bảo hiểm hay cổ đông. Việc rút tiền sẽ mở lại “khi an toàn”. Đến sáng 3/11, Ngân hàng Trung ương Brazil, Ủy ban Chứng khoán và Cảnh sát Liên bang chưa lên tiếng công khai. Sàn cũng cảnh báo riêng về những kẻ lừa đảo mời “giúp lấy lại tiền”. Nếu bạn là khách hàng của Mercado Bitcoin, đừng trả lời những lời mời như vậy và đừng gửi gì đến các địa chỉ nạp cũ cho tới khi sàn thông báo chúng đã an toàn.
Những câu hỏi còn bỏ ngỏ
- Kẻ tấn công có được quyền ký bằng cách nào: qua khóa, hệ thống ký, một nhân viên hay một nhà thầu?
- Vì sao sàn gọi cuộc tấn công là đã được khoanh vùng, trong khi việc rút từ địa chỉ của khách hàng kéo dài thêm bốn giờ?
- Khóa của các địa chỉ nạp đã được thay chưa, và có thể nạp lại theo thông tin cũ không?
- Sàn sẽ lấy tiền từ đâu để bù 38 triệu USD chưa bị đóng băng?
- Khi nào và theo thứ tự nào việc rút tiền sẽ được mở lại?
- Tổng số cuối cùng là bao nhiêu và bao nhiêu mạng bị ảnh hưởng: mười hay mười bảy?
Điều rút ra
Số dư trên sàn là lời hứa của sàn. Khi việc rút tiền bị đóng, coin của bạn chỉ tồn tại như một dòng trong cơ sở dữ liệu của sàn, và bạn chỉ lấy lại quyền truy cập khi sàn quyết định. Hãy để trên sàn phần bạn dùng để giao dịch, phần còn lại giữ trong ví mà chỉ bạn nắm khóa. Tuy vậy, hãy nhớ rằng bên phát hành có thể đóng băng stablecoin ngay cả trong ví của chính bạn.
Để tham khảo: ba ngày trước đó, Chainalysis đã thông báo hệ thống của chính mình bị xâm nhập — cũng chính là công ty hiện đang giúp Mercado Bitcoin truy vết số tiền bị đánh cắp.