區塊鏈分析對 Mercado Bitcoin 聲稱已控制駭客事件提出質疑

前言

巴西加密貨幣交易所 Mercado Bitcoin 表示，已於 November 2 控制一起安全漏洞事件。然而，區塊鏈分析公司 Bitquery 指出，在交易所宣布事件已受控制後，與交易所相關的客戶存款地址仍持續近四小時發生轉帳。其分析也顯示，被盜資產價值高於交易所最新估計。本文檢視事件據報的時間線、客戶存款地址與交易所熱錢包的運作方式，以及持續發生的活動為何值得關注。本文也區分 Mercado Bitcoin 與 Bitquery 各自公布的數字，但不將任何一方的估計視為已獲獨立證實。核心問題在於交易所宣稱事件已受控制，與其後鏈上轉帳之間存在落差，以及事件的完整財務規模和服務恢復時間仍不明朗。

懶人包

Bitquery 表示，November 2 巴西時間上午 9:27 至下午 1:56 期間，有 36,042 個 Ethereum 客戶存款地址遭到清空，儘管 Mercado Bitcoin 已於上午 9:56 宣布事件受控。據報這些地址持有約 $266,000，而 Bitquery 估計在 11 條區塊鏈上被盜資產總額為 $48.6 million。Mercado Bitcoin 最新估計則約為 $36.3 million。不同的總額以及持續發生的轉帳，凸顯事件仍有未解疑問。交易所表示將承擔用戶損失。帳戶餘額查詢計劃於 November 9 恢復，但存款、提款和交易仍暫停，且尚未公布恢復日期。

正文

區塊鏈研究指出，與 Mercado Bitcoin 安全事件相關的活動在交易所宣布已控制事件後仍持續發生，因此該事件再度引發關注。Bitquery 於 Thursday 更新的分析追蹤了 11 條區塊鏈上的被盜資產，並發現數千個 Ethereum 客戶存款地址發生轉帳。這些發現使交易所對事件被制止速度的公開說法更加複雜，但單憑這些資料仍無法解釋攻擊者如何取得存取權，也無法確定漏洞究竟何時開始。

交易所於 November 2 巴西時間上午 9:56 宣布已迅速控制事件。Bitquery 的紀錄顯示，36,042 個與客戶相關的 Ethereum 存款地址在巴西時間上午 9:27 至下午 1:56 之間遭到清空。據報的這段期間始於控制事件的公告之前，並在公告後持續近四小時。這段時間重疊相當重要，因為它顯示公告發布後，從已識別地址發出的轉帳似乎仍獲得授權。

報告指出，這些特定 Ethereum 地址持有的資金約為 $266,000。這僅占整體估計損失的一小部分。不過，這對了解事件可能如何發展仍然重要：這些地址與客戶相關，其餘額在交易所表示漏洞已受控制後仍遭轉出。地址內資金的數字與整體竊盜金額描述的是不同範圍，不應誤認為是針對同一筆資金的互相矛盾估計。

若要理解據報的交易，首先要區分客戶存款地址與交易所共用的營運錢包。存款地址的功能類似個人接收加密貨幣的帳戶。客戶可以將資產傳送至該地址，之後交易所可能定期將資金集中至共用的線上錢包，通常稱為熱錢包。熱錢包用於日常交易，並連接到能授權轉帳的系統。然而，若要從個別存款地址轉出加密貨幣，必須取得與該地址相關的授權。

Bitquery 表示，其觀察到的提款是由存款地址直接授權。實際而言，這表示攻擊者可能取得相關私鑰，或能代表這些地址簽署交易的系統存取權。私鑰是用來授權加密貨幣轉帳的機密憑證。若沒有必要的授權，通常無法透過有效的鏈上交易轉移地址中的資金。

研究人員提醒，可能造成的影響或許不只限於已觀察到的地址。交易所通常會從單一主密鑰衍生客戶存款金鑰。如果攻擊者取得該主密鑰，或能存取使用該密鑰的服務，其他客戶地址也可能受到影響。Bitquery 將疑慮概括為，相關活動需要「每個地址各自的金鑰，或能進入替這些地址簽署交易的系統」。這是對可能存取權的警示，並非所有存款地址都已遭入侵的證據。

對於正在考慮是否重複使用舊存款地址的客戶而言，這項區分很重要。Bitquery 建議，在 Mercado Bitcoin 確認舊存款地址安全之前，用戶不要重複使用。這項建議反映出目前仍無法確定曝露範圍。如果金鑰或簽署系統仍遭入侵，使用受影響的地址可能帶來額外風險。這項研究並未證明所有舊地址都不安全，但建議客戶等待交易所直接確認。

據報的竊盜總額也存在爭議。最初估計金額超過 $40 million。Mercado Bitcoin 更新後的常見問題頁面指出，受影響資產約為 $36.3 million。相較之下，Bitquery 估計在 11 條區塊鏈上共有 $48.6 million 遭竊。這些總額有顯著差異。差異可能來自所計入的資產、地址、網路或交易範圍不同，但已公布的更新資訊並未解釋這項落差。因此，應將數字歸於各自來源，而不應將其當作已確定的最終損失。

根據其公開更新內容，Mercado Bitcoin 尚未說明為何已識別地址在宣布事件受控後仍持續發生轉帳，也未詳細核對自身估計與 Bitquery 較高數字之間的差異。缺乏說明使重要問題仍懸而未決：交易所所稱的「受控」具體意指什麼、控制措施是涵蓋所有受影響系統還是僅涉及事件的一部分，以及公司何時發現後續交易。區塊鏈資料記錄了交易活動，但單靠這些資料無法確認交易所在各個時間點的內部知情狀況。

交易所已向客戶保證，將以自有資金承擔用戶損失。這項承諾處理了受影響客戶可能如何獲得補償的問題，但無法解決存取權的技術疑問、損失估計的差異，或現有存款地址的安全性。客戶和觀察者仍需要更多資訊，才能了解損失將如何計算，以及交易所在恢復正常營運前採取了哪些防護措施。

Mercado Bitcoin 的重新開放計畫初期範圍有限。交易所計劃於 November 9 恢復帳戶餘額查詢。公告並未訂出存款、提款或交易恢復的日期。因此，客戶可能先能查看帳戶餘額，之後才可以使用平台的主要服務。這項區別很重要：恢復帳戶資訊的存取權，不等於恢復資金存取權或重新開放交易。

整體而言，Bitquery 的調查結果讓 Mercado Bitcoin 漏洞事件的發生時間與規模都受到質疑。鏈上時間線顯示，來自 36,042 個 Ethereum 存款地址的轉帳持續至巴西時間下午 1:56，遠晚於上午 9:56 的事件受控公告。Bitquery 對 11 條區塊鏈上總額 $48.6 million 的估計，也高於交易所約 $36.3 million 的估計。在 Mercado Bitcoin 詳細說明後續轉帳、核對財務估計，並確認哪些地址安全之前，事件的完整範圍仍不明朗。

重點摘要表