Hack di Mercado Bitcoin: perdite, rimborsi e riapertura

Bitquery stima che il 2 novembre siano usciti dai wallet di Mercado Bitcoin $48.6 million su 11 blockchain, calcolati in base al valore di ciascun trasferimento nel momento in cui è avvenuto. Ha inoltre individuato 36,042 indirizzi di deposito Ethereum dei clienti che hanno inviato i propri saldi all'attaccante tra le 12:27 e le 16:56 UTC.

Chainalysis fornisce una stima distinta di circa $49 million su 17 blockchain e afferma che le tranche più consistenti provenivano da Bitcoin ed Ethereum. Si tratta di stime forensi, non di una perdita finale riconciliata.

Le FAQ di Mercado Bitcoin quantificano gli asset coinvolti in circa $36.3 million. Il dato differisce dalla stima di Bitquery, pari a $48.6 million, e da quella di Chainalysis, pari a circa $49 million.

Le fonti fornite non spiegano questa discrepanza. Chi valuta l'incidente dovrebbe quindi tenere distinta la cifra dell'exchange dalle due stime forensi, senza considerare definitivo nessuno dei tre numeri.

Secondo quanto riportato da Decrypt, alle 12:56 UTC Mercado Bitcoin ha annunciato di aver contenuto rapidamente l'incidente, mentre Bitquery ha registrato il drenaggio degli indirizzi di deposito fino alle 16:56 UTC.

La cronologia lascia aperta una domanda: perché il drenaggio registrato è proseguito per circa quattro ore dopo l'annuncio del contenimento? La ricerca fornita non identifica né la vulnerabilità né il sistema compromesso che ha consentito l'accesso alla firma.

Bitquery ha riferito che gli emittenti di stablecoin hanno congelato $11.8 million collegati all'attacco. Ha inoltre dichiarato che il 3 e 4 novembre l'attaccante ha venduto $11.9 million di token basati su Ethereum in cambio di ETH.

Chainalysis ha dichiarato che il suo intervento ha contribuito a congelare $9 million in totale, inclusi più di $4 million bloccati da Tether. Le FAQ di Mercado Bitcoin affermano che erano stati bloccati più di $15 million. Poiché le fonti riportano totali diversi, l'importo effettivamente congelato o recuperato resta da definire.

Mercado Bitcoin afferma che gli asset sottratti provenivano esclusivamente dai suoi hot wallet online e che i cold wallet offline non sono stati interessati. In un aggiornamento separato del 4 novembre, l'exchange dichiara che reintegrerà con fondi propri gli asset dei clienti coinvolti e che i clienti non subiranno perdite a causa dell'incidente.

Per chi usa un exchange centralizzato, questi sono gli impegni assunti dalla piattaforma. Le fonti fornite non chiariscono se gli ordini aperti o le posizioni dei clienti abbiano subito conseguenze economiche durante la sospensione del trading e dell'accesso ai conti.

Mercado Bitcoin prevede di avviare la riapertura del sito il 9 novembre, limitando inizialmente l'accesso alla visualizzazione di saldi, estratti conto, asset detenuti e investimenti.

L'exchange afferma che trasferimenti, prelievi e trading torneranno disponibili solo dopo la validazione finale di sicurezza di ciascun modulo. Non ha comunicato date certe per il riavvio di queste funzioni e l'aggiornamento fornito non indica quando saranno ripristinati completamente l'order book o l'app mobile.

Per i trader che confrontano la custodia su exchange centralizzati con la self-custody e i perpetual on-chain, i dettagli operativi ancora irrisolti contano più di una singola stima delle perdite da titolo. Verificate:

• Se depositi, trasferimenti, prelievi, trading, order book e accesso dall'app mobile sono effettivamente ripartiti.
• Se Mercado Bitcoin pubblica una spiegazione tecnica dell'accesso alla firma e del vuoto di quattro ore nella cronologia.
• Se l'exchange, Bitquery e Chainalysis riconciliano i rispettivi totali delle perdite e dei fondi congelati.
• Se Mercado Bitcoin chiarisce eventuali effetti economici sugli ordini aperti o sulle posizioni dei clienti durante la sospensione.

Finché questi punti non saranno chiariti, occorre distinguere gli aggiornamenti confermati dell'exchange dalle stime forensi e dalle questioni ancora aperte.