De hack bij de Braziliaanse cryptobeurs Mercado Bitcoin blijkt breder dan eerst bekend. Onderzoekers volgden geldstromen over elf blockchains en zagen dat tienduizenden stortingsadressen nog werden leeggehaald nadat de beurs had gemeld dat de aanval snel was ingeperkt.
Aanval stopte niet na eerste melding
Mercado Bitcoin bevestigde de aanval op 2 november en zette stortingen en opnames stil. Het bedrijf zei dat het incident snel was beperkt en dat klanten geen geld zouden verliezen.
Uit een bijgewerkte blockchainanalyse van Bitquery komt een ingewikkelder beeld naar voren. De onderzoekers tellen omgerekend ongeveer 43 miljoen euro aan geldstromen naar de aanvaller. Het geld kwam van wallets op elf verschillende blockchains, waaronder Ethereum en Bitcoin.
De opvallendste bevinding gaat over de persoonlijke stortingsadressen die klanten gebruiken om crypto naar de beurs te sturen. Op Ethereum werden volgens Bitquery 36.042 van die adressen leeggemaakt. De laatste betalingen vonden ongeveer vier uur na de geruststellende melding van Mercado Bitcoin plaats.
Dat bewijst niet dat klanten zelf verlies lijden. Een beurs schrijft een storting normaal al bij op het account van de klant en beheert daarna de bijbehorende wallets. Mercado Bitcoin heeft beloofd het tekort uit eigen middelen aan te vullen.
Deel van het geld is bevroren
Uitgevers van stablecoins kunnen hun munten op verdachte adressen blokkeren. Volgens Bitquery is zo voor ongeveer 10,5 miljoen euro aan gestolen tokens bevroren. Onder meer Tether, Circle en Paxos grepen in.
Het grootste deel van de buit bestaat echter uit munten zoals Bitcoin en Ethereum die geen centrale uitgever hebben. Daar kan geen bedrijf een adres simpelweg blokkeren. De aanvaller had bij de laatste controle onder meer 106 Bitcoin nog niet verplaatst en zette andere tokens om in ether.
De eerdere update over de hack draaide vooral om de belofte dat klanten worden vergoed. Het nieuwe onderzoek voegt toe dat ook de sleutels achter zeer veel stortingsadressen geraakt lijken. Bitquery kan op basis van de blockchain niet vaststellen hoe de aanvaller die toegang kreeg.
Oude stortingsadressen blijven een risico
Zolang de beurs geen nieuwe adressen en een herstart bevestigt, is geld sturen naar een oud Mercado Bitcoin-adres riskant. Een aanvaller die de bijbehorende sleutel nog heeft, kan een nieuwe storting opnieuw wegsluizen.
Mercado Bitcoin heeft nog geen datum gegeven waarop opnames en stortingen terugkeren. Voor klanten blijft daarom vooral de officiële heropeningsmelding belangrijk. De beurs waarschuwt daarnaast voor nepaccounts en valse terugbetalingslinks die misbruik maken van de onzekerheid.