Mercado Bitcoin、BTCハッキング被害が4,600万ドル超に拡大

Mercado Bitcoin、入出金を停止

ブラジル最大手の仮想通貨取引所Mercado Bitcoin (BTC)が月曜日、深夜に発生したセキュリティ事故を確認し、入出金を停止した。オンチェーンの追跡データでは、複数のネットワークにまたがる不審な送金が4,000万ドルを超え、分析家による集計は既に4,600万ドルを突破してなお増加を続けている。同社は侵入を特定して速やかに封じ込めたと説明し、顧客資金は失われておらず、顧客データもKYC記録を含めて露出していないと主張する。流出した資産には106 BTCが含まれるが、1日当たりのビットコインの価格取引回転高と比べれば小幅の規模だ。再開時期は示されておらず、侵害されたシステムの特定もされていない。

10のブロックチェーンで不正送金を検知

ブロックチェーンセキュリティ企業のHypernativeは、同取引所に関連するウォレットの動きを少なくとも10のネットワークで捕捉した。挙げられたのはビットコイン、Ethereum、Solana、Tron、Polygon、Arbitrum、Avalanche、BNB Smart Chain、Stellarなどで、いずれも主要ブロックチェーンを押さえた広範な監視だった。最初の不審な動きはブラジル時間の日曜日夜11時頃に現れ、最も大きな流出は06時19分〜06時53分(UTC)に集中。この時間帯に大多数のウォレットが残高を新規作成されたアドレスへ送金した。攻撃者のクラスタは現時点で約2,852 ETH、106 BTC、10,700 SOL、670万XLM、77,000 AVAXを保有し、これ以外に200以上のトークンを抱えており、アドレス群はクジラ級の保有規模に達している。なお、送金はいずれも通常の署名付きトランザクションで、スマートコントラクトの脆弱性を突いたものではなかった。

オンチェーン分析プラットフォームArkhamの分析家Emmett Gallicは、米東部時間午前中の時点で損失が4,600万ドルを超えたと報告した。この数字が増え続ける理由は、攻撃者が過去の入金用アドレスに残った資金を吸い上げながら、アルトコインやミームコインを長期保有せず売却に回しているためだ。一方、取引所側は事件に関連する送金先アドレスをX上で公表した。対象はビットコイン (BTC)、Ethereum互換ネットワーク、Solana、Stellar、Tronで、特定と追跡を目的として共有したという。当局との連携と資産追跡も並行して進めている。声明は顧客残高には手がついていないと強調する。動いた資金が取引所自身の資産であり顧客の預かり資産ではないことを示す区別で、この点は重要だ。

Tether、450万USDTを凍結

発行体の中で最も速く動いたのはTetherだ。CEOのPaolo Ardoinoは米東部時間午前10時06分にXで発言し、事件に関連する450万USDT超を凍結したと明らかにした。この手段が使えるのは、アドレスをブラックリストに登録できる中央集権的な発行体を持つトークンだけである。BTCやETHのようなネイティブ資産は同様に凍結できないため、これらのチェーンでの資金回収は取引所間の連携と法的手続に依存する。Tetherはこの取引所そのものにも関わりを持つ。7月にMercado Bitcoinへ2,000万ドルを出資しており、当時の同社は利用者数450万人を公表していた。なお、凍結額は最終的な回収データとして確定したものではない。

署名権限はどう奪われたのか

同社は依然として、どのシステムが侵害されたのか、損害額、サービス再開の時期のいずれも明かしていない。Hypernativeによれば、攻撃者がどうやってトランザクションへの署名権限を取得したのかはなお不明で、秘密鍵の露出と、送金を承認するインフラの不具合がともに疑われている。予備分析では、資金移動はスマートコントラクトの欠陥を利用したものではなく、送信元ウォレット自身が承認したかのような通常のトランザクションとして署名されていた。損失については全額を同社が吸収するとの声明が出ている。攻撃者の特定には至っておらず、今回の侵入と数日前のBinance事件を結ぶ公的な証拠も存在しない。

Binance事件から数日での発生

今回の事故は、史上最大の仮想通貨窃盗事件からわずか数日後に起きた。10月29日、攻撃者はエンジニアのノートパソコンを侵害して出金処理に使われる内部システムへのアクセスを得て、Binanceで63億ドル相当の資産に手を付けた。FBIはこの攻撃を北朝鮮のTraderTraitorグループの犯行と位置付けている。11月1日までにBinanceは盗まれた資産の95%を補填し、出金の段階的復旧を開始した。この事件ではTetherが約15.7億ドルのUSDT凍結を報告し、Circleは8億ドル超のUSDCをロックしたと表明した一方、約33億ドルの盗難資金がいまだ行方不明のままだ。別々の動きとして、Polymarketは先週木曜日に270万ドル規模の悪用被害を開示し、影響を受けた利用者へ全額補償すると述べている。

回収手段とその限界

オンチェーンの記録は事件全体の輪郭をはっきりさせる。捕捉された資金移動はすべて平易な署名付き送金であり、最終損失を決めるのはどのコントラクトが悪用されたかではなく、署名権限をどう奪ったかという一点だ。これまでの回収手段は、Tetherのブラックリスト、取引所が公表した送金先アドレス、損失を全額負担するという同社の約束に限られる。ネイティブなビットコイン (BTC)とETHは凍結できないため、追跡可能な回収見込み額は損失総額に比して小さいままだ。また、10チェーンに署名権限が分散する取引所側のマルチチェーン・カストディへの批判を、長年ビットコイン・マキシマリズムが主張してきた攻撃面の拡大という論点が改めて裏付ける形になった。市場環境も追い風ではない。ビットコインは月間7.3%の下落で2年連続の10月下落を記録した軟調な相場の後にこの事件が重なった。4,000万ドル超で始まった集計は現在4,600万ドルを超えており、攻撃者の資金吸い上げが止まるまで数字は動き続ける。