Hack de Mercado Bitcoin : pertes, indemnisation et réouverture

Selon les estimations de Bitquery, $48.6 million ont quitté les wallets de Mercado Bitcoin sur 11 blockchains le 2 novembre, sur la base de la valeur de chaque transfert au moment de son exécution. La société a également identifié 36,042 adresses de dépôt de clients sur Ethereum qui ont envoyé leurs soldes à l’attaquant entre 12:27 et 16:56 UTC.

Chainalysis avance une estimation distincte d’approximativement $49 million sur 17 blockchains et précise que les plus grosses tranches provenaient de Bitcoin et Ethereum. Il s’agit d’estimations forensiques, et non d’un bilan définitif consolidé.

La FAQ de Mercado Bitcoin chiffre les actifs concernés à environ $36.3 million. Ce montant diffère de l’estimation de $48.6 million de Bitquery et de celle d’approximativement $49 million de Chainalysis.

Les sources fournies n’expliquent pas cet écart. Les traders qui évaluent l’incident doivent donc distinguer le chiffre communiqué par la plateforme des deux estimations forensiques, plutôt que de considérer l’un de ces montants comme définitif.

Selon Decrypt, Mercado Bitcoin a annoncé à 12:56 UTC avoir rapidement endigué l’incident, alors que Bitquery a relevé des vidages d’adresses de dépôt jusqu’à 16:56 UTC.

Cette chronologie laisse une question sans réponse : pourquoi les vidages enregistrés ont-ils continué pendant environ quatre heures après l’annonce de l’endiguement ? Les recherches fournies ne permettent d’identifier ni la faille ni le système compromis ayant donné accès à la signature.

Bitquery indique que les émetteurs de stablecoins ont gelé $11.8 million liés à l’attaque. La société ajoute que l’attaquant a vendu $11.9 million de tokens basés sur Ethereum contre de l’ETH les 3 et 4 novembre.

Chainalysis affirme que son intervention a contribué à geler $9 million au total, dont plus de $4 million par Tether. La FAQ de Mercado Bitcoin indique que plus de $15 million avaient été bloqués. Les sources avançant des totaux différents, le montant finalement gelé ou récupéré reste incertain.

Mercado Bitcoin affirme que les actifs détournés provenaient uniquement de ses hot wallets en ligne et que ses cold wallets hors ligne n’ont pas été touchés. Dans une mise à jour distincte du 4 novembre, la plateforme indique qu’elle remplacera les actifs clients concernés avec ses propres fonds et que les clients ne supporteront aucune perte liée à l’incident.

Pour les utilisateurs d’une plateforme centralisée, il s’agit des engagements pris par Mercado Bitcoin. Les sources fournies ne permettent pas d’établir si les ordres ouverts ou les positions des clients ont subi un impact économique pendant la suspension du trading et de l’accès aux comptes.

Mercado Bitcoin prévoit de commencer à rouvrir son site le 9 novembre, avec dans un premier temps un accès limité à la consultation des soldes, des relevés, des avoirs et des investissements.

La plateforme précise que les transferts, les retraits et le trading ne reprendront qu’après la validation de sécurité finale de chaque module. Elle n’a annoncé aucune date ferme pour le redémarrage de ces fonctions, et la mise à jour fournie ne précise pas quand le carnet d’ordres ou l’application mobile seront entièrement rétablis.

Pour les traders qui comparent la conservation sur une plateforme centralisée à l’auto-conservation et aux contrats perpétuels on-chain, les zones d’ombre opérationnelles comptent davantage qu’un seul montant de pertes en titre. À vérifier :

• Si les dépôts, les transferts, les retraits, le trading, le carnet d’ordres et l’accès à l’application mobile ont effectivement repris.
• Si Mercado Bitcoin publie une explication technique sur l’accès à la signature et le décalage de quatre heures dans la chronologie.
• Si la plateforme, Bitquery et Chainalysis parviennent à rapprocher leurs estimations des pertes et des fonds gelés.
• Si Mercado Bitcoin précise l’éventuel impact économique de la suspension sur les ordres ouverts ou les positions des clients.

Tant que ces questions restent sans réponse, il convient de distinguer les communications confirmées de la plateforme, les estimations forensiques et les points encore non résolus.