De hackers die onlangs tientallen miljoenen dollars buitmaakten bij de Braziliaanse cryptobeurs Mercado Bitcoin, konden veel langer hun gang gaan dan gedacht.
Nieuw onderzoek toont aan dat de aanvallers nog urenlang cryptomunten stalen nadat het handelsplatform had gemeld dat de aanval onder controle was. Bovendien zijn er aanwijzingen dat dezelfde daders ook een tweede cryptobeurs hebben getroffen.
Hackers gingen nog vier uur door na melding cryptobeurs
Blockchainanalysebedrijf Bitquery heeft de transacties rond de cyberaanval van 2 november onderzocht. Daaruit komt een opvallend verschil naar voren tussen het moment waarop Mercado Bitcoin de aanval als beheerst beschouwde en het moment waarop de diefstal daadwerkelijk stopte.
De cryptobeurs meldde op 2 november om 13.56 uur Nederlandse tijd dat de aanval was ingedamd. Uit de blockchaingegevens blijkt echter dat de hackers tot 17.56 uur doorgingen met het wegsluizen van cryptomunten.
De aanvallers waren al om 13.27 uur begonnen met het leeghalen van adressen op het Ethereum (ETH) netwerk. In totaal werden 36.042 adressen getroffen die klanten gebruikten om cryptomunten op hun handelsaccount te storten.
Dat de diefstal na de officiële melding nog vier uur doorging, roept vragen op over de snelheid waarmee Mercado Bitcoin de aanval daadwerkelijk onder controle kreeg.
Volgens Bitquery wijzen de transacties erop dat de hackers mogelijk toegang hadden tot systemen waarmee de cryptobeurs stortingen van klanten beheert. Daarmee zouden ze gedurende langere tijd geld hebben kunnen wegsluizen, ondanks de maatregelen die het bedrijf had genomen.
Het onderzoek brengt ook nieuwe informatie over de omvang van de schade aan het licht. Bitquery heeft inmiddels 48,6 miljoen dollar aan gestolen cryptomunten geïdentificeerd, verspreid over tien verschillende blockchainnetwerken. Eerder werd nog uitgegaan van ongeveer 40 miljoen dollar.
Onderzoek legt mogelijk verband met tweede crypto hack
De onderzoekers ontdekten daarnaast een mogelijke verbinding met een andere cyberaanval. Dezelfde hackers lijken namelijk ook betrokken te zijn geweest bij een hack van cryptobeurs BitMart.
Een crypto-adres dat aan de aanvallers wordt toegeschreven, ontving al vóór de aanval op Mercado Bitcoin geld vanuit verschillende adressen op de netwerken Base, Arbitrum en Optimism.
Bitquery vermoedt dat deze adressen bij BitMart horen. Via deze transacties zou ongeveer 391.000 dollar zijn buitgemaakt, al heeft BitMart dat bedrag nog niet bevestigd.
Oprichter Sheldon Xia bevestigde wel dat zijn cryptobeurs op 2 november werd gehackt. Volgens hem wijst het voorlopige onderzoek erop dat dezelfde groep achter beide aanvallen zit.
Die mogelijke betrokkenheid roept nieuwe vragen op. Het is denkbaar dat de hackers toegang hebben gekregen tot technische infrastructuur die door meerdere cryptobeurzen wordt gebruikt. Daarmee zouden ze verschillende handelsplatformen kunnen aanvallen zonder telkens een volledig nieuw beveiligingslek te hoeven vinden.
Voor die verklaring is voorlopig echter geen bewijs. Hoe de aanvallers precies zijn binnengedrongen en of beide incidenten daadwerkelijk dezelfde oorzaak hebben, blijft onduidelijk.
Klanten wachten op heropening cryptobeurs
Terwijl het onderzoek naar de hackers doorgaat, probeert Mercado Bitcoin de gevolgen voor zijn klanten te beperken. De cryptobeurs heeft beloofd alle verliezen van getroffen gebruikers te vergoeden.
Ook kreeg het bedrijf hulp van Tether, Circle en blockchainanalysebedrijf Chainalysis. Door die samenwerking kon inmiddels meer dan 15 miljoen dollar aan gestolen cryptomunten worden bevroren.
Voor gebruikers zijn stortingen en opnames voorlopig nog altijd niet mogelijk. Mercado Bitcoin wil zijn website op 9 november opnieuw toegankelijk maken, maar klanten kunnen dan uitsluitend hun gegevens en tegoeden bekijken.
Wanneer gebruikers weer cryptomunten kunnen storten of opnemen, is nog niet bekend. Mercado Bitcoin heeft vooralsnog niet gereageerd op de nieuwe bevindingen van Bitquery.
Het bericht Hackers plunderden Mercado Bitcoin nog uren na melding dat hack was ingedamd verscheen eerst op Newsbit.