Mercado Bitcoin (BTC)遭攻击:收控声明后36,042个地址被持续清空4小时

4小时内36,042个地址被清空

巴西这家中心化交易所向客户宣布已收控攻击事件后,资金转出仍持续了将近4个小时。在此期间,比特币(BTC)价格24小时内下跌5.5%。11月5日(星期四)公布的链上分析给出了完整时间线:区块链分析公司Bitquery的调查显示,攻击者在11月2日(星期一)巴西时间9:27至13:56之间,清空了与该交易所关联的36,042个以太坊充值地址。交易所的收控声明当天上午9:56才发出,也就是说,在交易所宣布事件已经结束之前,资金外流已经进行了29分钟,并且在此后又持续了近4个小时。这36,042个地址合计仅持有约26.6万美元,在总失窃金额中只占一小部分,但在声明发布之后,攻击者依然能够搬走其中的资金。所谓充值地址,是交易所分配给每位客户的独立收款账户,要从其中转出资金,必须掌握该地址的私钥。Bitquery的最新估算显示,被窃资产总额已达4,860万美元,分布在11条区块链上,高于Mercado Bitcoin (BTC)于11月4日(星期三)在官方X账号公布的3,630万美元。此外,在主攻击发生之前,同一个攻击者地址还从Base、Arbitrum和Optimism上的钱包收到约39.1万美元,其中大部分被研究人员溯源至BitMart,但BitMart并未确认这一金额。BitMart创始人Sheldon Xia表示,其交易所于11月2日遭到攻击,初步调查指向与Mercado Bitcoin入侵事件背后相同的团伙。

1,230万美元的数字缺口

各方公布的损失数字至今未能对齐。早期评估认为受影响资产超过4,000万美元,交易所更新的常见问题页面目前列为约3,630万美元,而链上统计则达到4,860万美元,分布在11条网络上。三个数字并排摆在那里,官方却没有给出任何调和口径。公司的公开通报既没有解释为什么在收控声明之后转账仍在继续,也没有解释自身数字与链上数据之间的差距;它只是向客户保证,将用自有资金弥补用户损失。被盗机制本身解释了为什么这个疑问始终悬而未决。客户充值地址的功能类似一个个人收款账户:交易所为每位用户分配一个地址,随后将币归集进处理日常交易的热钱包。从这类地址转出资金需要其私钥授权,而本案中的提款正是由充值地址自身直接签名的。Bitquery的研究人员写道,要做到这一点,要么持有每一个地址的密钥,要么攻入了为这些地址签名的系统。他们还指出一个结构性风险:交易所通常用单一主密钥派生各充值地址的密钥,攻击者一旦握有主密钥材料,仍可能波及其他客户地址。约1,230万美元的缺口,已经大于被清空的以太坊地址的全部余额。在Mercado Bitcoin确认单个地址安全之前,建议用户不要复用旧充值地址。交易所11月4日公布的重新开放计划显示,11月9日(星期一)仅开放余额查看功能;充值、提现和交易均未给出重启日期,这意味着客户资金滞留在旧地址上,在提现恢复之前无法移动。

对照链上记录来看,这起事件更像是密钥托管层面的失误,而非重放攻击之类的协议缺陷:攻击者在4个小时的窗口内,逐个行使了数万个独立地址的签名权限。资金外流与收控声明之间29分钟的重叠,将成为外界审视其事件响应时最尖锐的问题,而常见问题页面数字与链上统计之间的差距,也说明其记账进度仍落后于链上。风险是否真正解除,取决于主密钥问题;11月9日的只读重开以及充值地址是否会重新生成,是下一个观察节点。此次攻击事件还发生在行情偏软的阶段,5.5%的跌幅过后,市场正面临76,155美元支撑位测试。