WORLDTECHMercado Bitcoin: Bitquery widerspricht Darstellung zur Eindämmung
Laut Bitquery leerte ein Angreifer fast vier Stunden lang weiter Einzahlungsadressen der brasilianischen Börse Mercado Bitcoin, nachdem diese erklärt hatte, eine Sicherheitslücke eingedämmt zu haben. Der Befund stellt die Darstellung einer raschen Reaktion infrage.
Umfang der abgeflossenen Werte
Bitquery verfolgt laut seiner am Donnerstag aktualisierten Analyse gestohlene Vermögenswerte von mehr als 48 Millionen US-Dollar über 11 Blockchains. Die Forscher beziffern die Summe auf 48,6 Millionen US-Dollar und liegen damit über der letzten Schätzung der Börse von 36,3 Millionen US-Dollar. Laut Bitquery wurden zwischen 9:27 Uhr und später im Angriffszeitraum 36.042 Ethereum-Einzahlungsadressen von Kunden geleert.
Wie die Abhebungen autorisiert wurden
Eine Kunden-Einzahlungsadresse funktioniert ähnlich wie ein persönliches Empfangskonto für Kryptowährungen. Börsen sammeln diese Guthaben üblicherweise in einer gemeinsamen Hot Wallet für den Alltagsverkehr. Für Überweisungen aus einer solchen Adresse braucht man den privaten Schlüssel, das Geheimnis, das Transfers freigibt. Laut Bitquery wurden die Abflüsse direkt von den Einzahlungsadressen freigegeben, was darauf hindeutet, dass der Angreifer diese Schlüssel besaß oder ein System kontrollierte, das Transaktionen in ihrem Namen signieren kann.
Die Forscher warnten, dass Börsen Einzahlungsschlüssel häufig aus einem Hauptschlüssel erzeugen. Der Angreifer könnte daher auch andere Kundenadressen erreichen.
Kontoeinsicht vor dem Handel
Mercado Bitcoin plant, die Kontoeinsicht am 9. November wieder zu ermöglichen. Abhebungen und Handel bleiben zunächst ausgesetzt. Die Befunde betreffen unmittelbar die Frage, ob Kunden der Darstellung der Börse zur Eindämmung vertrauen können, solange diese Einschränkungen gelten.
Offene Fragen
- Hat Mercado Bitcoin die Zahlen von Bitquery bestätigt oder bestritten?
- Kann der Angreifer weiterhin andere Kunden-Einzahlungsadressen erreichen?