Mercado Bitcoin arrête les retraits après le drainage de 40 millions de dollars sur 10 chaînes de blocs

Mercado Bitcoin, la plus grande plateforme d'échange de cryptomonnaies du Brésil, a suspendu les dépôts et les retraits le lundi 2 novembre après un incident de sécurité dans l'un de ses systèmes. La plateforme a annoncé l'incident dans un communiqué sur X à 12h56 UTC. « Nous avons identifié et rapidement contenu un incident de sécurité dans l'un de nos systèmes pendant la nuit », a déclaré le communiqué. « Il n'y a eu aucune perte pour les clients ; il n'y a eu aucune fuite de données ».

Ce que dit la plateforme

La plateforme a déclaré que ses équipes enquêtent sur l'incident, tracent les actifs et coordonnent avec les autorités. Elle n'a pas donné son propre chiffre de pertes. Elle n'a pas qualifié l'incident de piratage et n'a pas dit à qui appartenaient les fonds déplacés. Environ 90 minutes après son premier communiqué, la plateforme a publié les adresses de destination qu'elle avait identifiées dans des mouvements liés à l'incident, sur les réseaux EVM, Bitcoin, Solana, Stellar et Tron. Elle a dit que les adresses étaient partagées uniquement pour pouvoir être identifiées et suivies.

L'estimation de 40 millions de dollars

Le chiffre des gros titres vient de Hypernative, une société de sécurité des chaînes de blocs. Hypernative a estimé que plus de 40 millions de dollars avaient été drainés de portefeuilles qu'elle attribue à Mercado Bitcoin. La plateforme n'a pas confirmé cette estimation. Les sorties ont touché des portefeuilles sur au moins 10 chaînes de blocs. Hypernative en a nommé neuf : Ethereum, Bitcoin, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain et Stellar. Selon le décompte de Hypernative, l'attaquant détient environ 2 852 ETH, 106 BTC, 10 700 SOL, 6,7 millions de XLM et 77 000 AVAX, plus plus de 200 autres jetons, dans de nouvelles adresses.

Comment l'argent a circulé

La majeure partie de l'argent a circulé dans une fenêtre de 34 minutes, de 06h19 à 06h53 UTC le 2 novembre. Des balayages des adresses de dépôt bitcoin de la plateforme vers le même attaquant avaient commencé plus tôt, à 02h15 UTC. Les transferts étaient de simples transactions, pas une exploitation de contrat intelligent, et on ignore encore comment l'attaquant a obtenu un accès de signature. L'adresse Bitcoin nommée par la plateforme avait reçu environ 106,07 BTC en sept transactions. Sur ce total, 104,43 BTC sont arrivés en un seul transfert horodaté à 06h41 UTC, selon un examen de l'adresse sur l'explorateur de blocs Blockstream. Aucun des bitcoins n'avait quitté l'adresse au moment de cet examen.

Une partie des fonds gelée, aucune attribution pour l'instant

Paolo Ardoino, fondateur de Tether, a confirmé que 4,5 millions de dollars en USDT liés à l'incident ont été gelés. Aucune attribution n'a été faite. Il n'existe aucune preuve publique reliant cet incident au piratage de Binance du 29 octobre, au cours duquel environ 6,3 milliards de dollars ont été volés et que le FBI a attribué au groupe nord-coréen TraderTraitor, a rapporté CoinDesk. Pour les clients, la question immédiate est de savoir quand les dépôts et les retraits reprendront. La plateforme n'a donné aucune heure pour cela dans les communiqués rapportés jusqu'ici.