Mercado Bitcoin 遭駭：損失估算、客戶保障與重啟進度

Bitquery 估算，11月2日共有價值 $48.6 million 的資產從 Mercado Bitcoin 錢包流出，涉及 11 條區塊鏈，金額按每筆轉帳發生時的價值計算。Bitquery 另識別出 36,042 個 Ethereum 客戶入金地址，這些地址在 12:27 至 16:56 UTC 之間將餘額轉給攻擊者。

Chainalysis 另行估算，約有 $49 million 的資產從 17 條區塊鏈流出，其中最大幾筆來自 Bitcoin 與 Ethereum。這些都是鏈上鑑識估算，並非核對完成的最終損失。

Mercado Bitcoin 的 FAQ 指出，涉案資產約為 $36.3 million。這與 Bitquery 的 $48.6 million 估算，以及 Chainalysis 約 $49 million 的估算並不一致。

現有資料並未釐清差距來源。因此，交易者評估事件時，應將交易所公布的數字與兩家鏈上鑑識公司的估算分開看待，不宜把任何一個數字視為定案。

Decrypt 報導，Mercado Bitcoin 於 12:56 UTC 宣布已迅速控制事件，但 Bitquery 記錄顯示，入金地址持續遭轉空至 16:56 UTC。

這段時間線留下尚未解答的問題：為何在宣布事件受控後，鏈上仍持續出現約四小時的資金流出？現有研究並未確認漏洞成因，也未指出是哪個遭入侵的系統提供了簽章權限。

Bitquery 表示，穩定幣發行商已凍結與攻擊有關的 $11.8 million。Bitquery 也指出，攻擊者在 11月3日與4日把價值 $11.9 million、基於 Ethereum 的代幣賣成 ETH。

Chainalysis 表示，其應變工作協助凍結合計 $9 million，其中超過 $4 million 由 Tether 凍結。Mercado Bitcoin 的 FAQ 則稱，已有超過 $15 million 遭封鎖。由於各方採用的總額不同，最終凍結或追回的金額仍未定案。

Mercado Bitcoin 表示，遭轉走的資產僅來自線上熱錢包，離線冷錢包未受影響。交易所在另一份11月4日更新中表示，將以公司資金補回受影響的客戶資產，客戶不會承擔此次事件造成的損失。

對中心化交易所用戶而言，這些是交易所作出的承諾。現有資料無法證實，在交易與帳戶存取暫停期間，未成交委託或客戶部位是否受到經濟損失。

Mercado Bitcoin 計畫自 11月9日起逐步重新開放網站，初期僅允許用戶查看餘額、帳戶明細、持倉與投資。

交易所表示，轉帳、提款與交易功能必須在各自模組完成最終安全驗證後才會恢復。目前尚未公布這些功能的確切重啟日期，現有更新也未交代訂單簿或行動 App 全面恢復的時間。

對於正在比較中心化交易所託管、自託管與鏈上永續合約的交易者，尚未釐清的營運細節，比單一醒目的損失估算更重要。請確認：

• 入金、轉帳、提款、交易、訂單簿與行動 App 存取是否確實恢復。
• Mercado Bitcoin 是否公布技術說明，交代簽章權限遭取得的方式，以及四小時時間差。
• 交易所、Bitquery 與 Chainalysis 是否核對並統一損失與資金凍結總額。
• Mercado Bitcoin 是否說明服務暫停期間，未成交委託或客戶部位是否受到經濟影響。

在上述問題獲得解答前，應清楚區分交易所已確認的更新、鏈上鑑識估算與仍待釐清的疑點。