Взлом Mercado Bitcoin: как вывели $40 млн и что известно сейчас

В ночь на 2 ноября с кошельков Mercado Bitcoin (MB), одной из крупнейших криптобирж Бразилии, вывели активы минимум в 10 блокчейнах. Охранная компания Hypernative по предварительной оценке насчитала около $40 млн. Сама биржа подтвердила «инцидент безопасности в одной из систем» и остановила ввод и вывод средств. Она утверждает, что клиенты не потеряли деньги, но сумму не называет.

Что известно сейчас

• Mercado Bitcoin заявляет, что инцидент выявлен и локализован, убытков у клиентов нет, утечки данных нет. Сумму потерь и способ атаки биржа не раскрыла.
• Ввод и вывод на бирже приостановлены «в качестве превентивной меры». Срок возобновления не назван.
• По оценке Hypernative, которую передаёт Wu Blockchain, подозрительные переводы превышают $40 млн минимум в 10 сетях. Биржа эту оценку не подтверждала.
• По данным Hypernative, которые приводит Livecoins, у атакующего около 2 852 ETH, 106 BTC, 10,7 тыс. SOL, 6,7 млн XLM, 77 тыс. AVAX, 3,07 млн XDC, 1,7 млн TRX и ещё более 200 токенов.
• По блокчейну средства пока не ушли на биржи и в миксеры: ETH и BTC лежат на новых адресах. Атакующий не опознан.

Как это произошло

Подробностей от биржи нет: MB говорит только об инциденте «в одной из систем». Hypernative в разборе, который цитирует Livecoins, пишет, что деньги ушли обычными переводами, а не через уязвимость смарт-контрактов. Значит, атакующий смог подписывать транзакции от имени кошельков биржи. Как он получил такой доступ (украденные ключи, взлом системы подписи, инсайдер), пока неизвестно.

Hypernative перечисляет затронутые сети: Ethereum, Bitcoin, Solana, Tron, Polygon, Arbitrum, Avalanche, BSC и Stellar. Такой охват обычно означает доступ к общей системе управления горячими кошельками, а не к одному кошельку. Но это наш вывод, а не данные расследования.

Хроника

• 2 ноября, 05:15 МСК. Начало основной волны выводов с кошельков биржи, по данным Hypernative (Livecoins). В Бразилии это 23:15 воскресенья.
• 2 ноября, 09:41 МСК. Транзакция в сети Биткоина собирает 104,43 BTC с 34 входов на адрес 19qGps…prDZp. На этот адрес ссылается Livecoins как на кошелёк атакующего. Сейчас на нём около 106,07 BTC.
• 2 ноября, 11:32 МСК. Перевод 2 852,07 ETH с адреса 0x5cc7…d548 на 0xe485…2478. Livecoins приводит эту транзакцию как вывод ETH атакующим.
• 2 ноября, 15:07 МСК. С адреса 0xe485…2478 уходит 2 800 ETH на новый адрес 0x8419…F320. Средства там не двигались.
• 2 ноября, 15:56 МСК. Mercado Bitcoin публикует официальное заявление: инцидент выявлен и сдержан, убытков у клиентов и утечки данных нет, ввод и вывод приостановлены, биржа работает с властями и обещает регулярные обновления. В ту же минуту бразильское издание BitNotícias сообщает об оценке Hypernative в $40 млн.
• 2 ноября, 16:16⁠–⁠17:00 МСК. Адрес 0xe485…2478 отправляет 200 ETH на ещё один новый адрес и раскидывает по другим адресам десятки токенов на Ethereum: USDT, USDe, PAXG и др. (по данным обозревателя Blockscout).
• 2 ноября, 16:57 МСК. Wu Blockchain распространяет оценку Hypernative: более $40 млн минимум в 10 сетях. Способ атаки не известен.

Куда ушли деньги

На момент последней проверки украденное лежит на новых адресах атакующего. Признаков того, что его отправили в миксеры, через мосты или на биржи, нет.

• Bitcoin: около 106,07 BTC на адресе 19qGpsHvzh1t6pVi526XNNkh6hW6prDZp (mempool.space).
• Ethereum: из 2 852 ETH 2 800 ETH лежат на 0x8419e7824e785C4Ac8D9d94A0093C437AB1FF320, 200 ETH на 0xCeDFEd1392d75aEC08D630be787399E916791279, около 406 ETH остаются на 0xe485e7a70b1131216cb47ca4555c4bbb2c742478. В сумме это больше 2 852 ETH: по истории адреса 0xe485…2478 на него приходили и другие переводы.
• Остальные сети (Solana, Tron, Stellar, Avalanche, XDC и др.) мы по блокчейну пока не проверяли. Цифры по ним — из оценки Hypernative.

Что сделали команда и биржи

Mercado Bitcoin остановила ввод и вывод. По её словам, команды расследуют инцидент, отслеживают активы и «координируют меры с компетентными органами». Какие это органы, биржа не уточняет. Награду за возврат средств биржа не объявляла, о заморозках на других биржах или у эмитентов стейблкоинов (Tether, Circle) пока не сообщалось.

Инцидент произошёл меньше чем через три дня после взлома Binance, поэтому внимание к безопасности горячих кошельков бирж и так высокое.

Что это значит для держателей

У клиентов MB сейчас нет доступа к выводу и вводу. Биржа обещает, что их балансы не пострадали. Главные открытые вопросы: когда откроются выводы, назовёт ли биржа сумму и способ атаки, удастся ли заморозить часть средств, особенно стейблкоины. Актуальная цена биткоина — в сводке дня.

Это не инвестиционный совет.

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 2 ноября, 17:15 МСК.