Mercado Bitcoin称黑客攻击已受控，但链上数据呈现不同情况

最新区块链研究显示，在巴西交易所 Mercado Bitcoin 声称已控制安全漏洞近4小时后，攻击者仍从与该交易所相关的充值地址转走资金。 Bitquery 于周四更新的分析追踪了横跨11条区块链、价值超过4,800万美元的被盗资产。研究结果对交易所关于迅速制止攻击的说法提出质疑。

Mercado Bitcoin 于11月2日巴西时间上午9:56宣布已迅速控制事件。Bitquery 表示，巴西时间上午9:27至下午1:56期间，共有36,042个以太坊客户充值地址被清空。 这些地址中约有26.6万美元，仅占总失窃金额的一小部分。但在交易所发布公告后，攻击者仍能转移这些资金。

客户充值地址类似于用于接收加密货币的个人账户。交易所之后会将这些币汇集到一个称为热钱包的共享在线钱包中，以处理日常交易。要从充值地址转出资金，需要该地址的私钥，也就是授权转账的秘密凭证。 Bitquery 表示，这些提现交易由充值地址直接授权，表明攻击者可能获取了这些地址的私钥，或掌握了能够代表这些地址签署交易的系统。

研究人员解释说：“这需要每个地址对应的密钥，或者能够进入为这些地址签名的系统。”他们提醒，交易所通常会通过单一主密钥生成充值地址密钥，因此攻击者可能仍能访问其他客户地址。 失窃金额也存在争议。最初的估算称失窃金额超过4,000万美元，而 Mercado Bitcoin 更新后的常见问题页面称受影响资产约为3,630万美元。Bitquery 估算，横跨11条区块链的失窃金额为4,860万美元。

Mercado Bitcoin 尚未在公开更新中解释其“攻击已受控”的说法与之后发生的资金转移之间的差异。该公司承诺将使用自有资金弥补用户损失。 Bitquery 提醒客户，在交易所确认旧充值地址安全之前，不要重复使用这些地址。Mercado Bitcoin 计划于11月9日开始恢复服务，届时仅开放余额查看；充值、提现和交易尚无重启日期。