Mercado BitcoinのBTCハッキング、封じ込め宣言後も36,042アドレスから流出

4時間にわたり36,042アドレスが空に

ブラジルの取引所Mercado Bitcoin (BTC)は、ハッキングを封じ込めたと顧客に伝えたが、資産の流出はその後も約4時間にわたって続いていた。このフォレンジック調査が固まる間、ビットコイン(BTC)の価格は24時間で5.5%下落した。11月5日木曜日に公開されたオンチェーン調査で時間軸が確定した。ブロックチェーン分析企業Bitqueryの調査によると、攻撃者は11月2日のブラジル時間午前9時27分から午後1時56分の間に、同取引所に紐づく36,042のイーサリアム入金アドレスを空にした。取引所の封じ込め発表は同日午前9時56分に出されており、流出は宣言の29分前から始まっており、宣言後も約4時間動き続けた計算になる。この36,042アドレスの残高は合計約26万6,000ドルで、被害総額から見れば小さな部分だが、発表後も長時間にわたり攻撃者が資金を動かせたことを示す。入金アドレスとは、取引所が顧客ごとに割り当てる個別の受取用アカウントであり、そこから資金を引き出すには当該アドレスの秘密鍵が必要になる。Bitqueryの最新の推計は、11のブロックチェーンをまたぐ窃取総額を4,860万ドルとしており、Mercado Bitcoinが11月4日に公式Xアカウントで公表した3,630万ドルを上回る。同じ攻撃者アドレスは、本格的な流出前にBase、Arbitrum、Optimism上のウォレットから約39万1,000ドルを受け取っており、研究者の追跡の大部分はBitMartにたどり着いた。BitMartは額を確認していないが、創業者のSheldon Xia氏は11月2日に自社がハッキングを受けたことを明かし、暫定調査ではMercado Bitcoinの事件の背後にあるグループと同一との見方を示した。

合計に1,230万ドルの開き

食い違う数字はまだ整理されていない。当初の評価では影響を受けた資産は4,000万ドル超、取引所が更新したFAQでは約3,630万ドル、一方オンチェーンの集計は11ネットワークに広がる4,860万ドルに達する。三つの数字が並び、公式な橋渡しの説明はない。会社側の公表資料は、封じ込め宣言後に送金が続いた理由も、自社の数字とチェーン上データの差も説明しておらず、顧客の損失は自己資金で補填すると約束するにとどまる。窃取の仕組みを押さえれば、疑問が残り続ける理由が分かる。顧客の入金アドレスは個人宛ての受取口座に近い機能を持ち、取引所は各ユーザーに一つずつ割り当てた上で、資産を日々の送金を処理する共用のホットウォレットに集約する。こうしたアドレスからの送金にはその秘密鍵による署名が必要で、今回の出金は入金アドレス自体が直接署名していた。Bitqueryの研究者は、これを実行するには全アドレスの鍵を手にするか、署名を担うシステムに侵入する手段が必要だと指摘する。さらに構造的なリスクも示された。取引所は通常、入金アドレスの鍵を単一のマスターキーから導出するため、そのマスター素材を握られた攻撃者は他の顧客アドレスにも到達できる可能性がある。約1,230万ドルの差額は、空にされたイーサリアム入金アドレスの残高全体より大きく、Mercado Bitcoin (BTC)が個々のアドレスの安全性を確認するまで、旧入金アドレスの使い回しは避けるべきだというのが現時点の指導だ。11月4日に公表された再開計画では、11月9日月曜日から残高照会のみが始まり、入金・出金・取引の再開時期は未定のままだ。出金が戻るまで、旧アドレスに資金を置く顧客は動かしようがない。

チェーン上の記録と照らすと、この事件はリプレイアタックのようなプロトコルの欠陥ではなく、鍵管理の失敗として読める。攻撃者は4時間の窓の間に、数万の個別アドレスに対する署名権限を一つずつ行使したのだ。流出と封じ込め宣言が29分重なった点は、取引所のインシデント対応で最も厳しい検証を受ける部分になるだろう。FAQの数字とオンチェーン集計の開きは、経理がチェーンに追いついていないことを示す。露出が本当に閉じたかどうかはマスターキーの問題に懸かり、11月9日の照会のみの再開と入金アドレスの再発行が次の確認点となる。事件は軟調な相場の中で起きており、5.5%の下落により市場は7万6,155ドルのサポートの試しに直面している。