区块链分析质疑 Mercado Bitcoin 声称黑客事件已得到控制

前言

巴西加密货币交易所 Mercado Bitcoin 表示，已于 November 2 控制一起安全漏洞事件。然而，区块链分析公司 Bitquery 指出，在交易所宣布事件已得到控制后，与交易所相关的客户存款地址仍持续近四小时发生转账。其分析还显示，被盗资产价值高于交易所最新估计。本文审视事件据报的时间线、客户存款地址与交易所热钱包的运作方式，以及持续发生的活动为何值得关注。本文也区分 Mercado Bitcoin 与 Bitquery 各自公布的数据，但不将任何一方的估计视为已获独立证实。核心问题在于交易所声称事件已得到控制，与其后链上转账之间存在差距，以及事件的完整财务规模和服务恢复时间仍不明朗。

懒人包

Bitquery 表示，November 2 巴西时间上午 9:27 至下午 1:56 期间，有 36,042 个 Ethereum 客户存款地址遭到清空，尽管 Mercado Bitcoin 已于上午 9:56 宣布事件得到控制。据报这些地址持有约 $266,000，而 Bitquery 估计在 11 条区块链上被盗资产总额为 $48.6 million。Mercado Bitcoin 最新估计则约为 $36.3 million。不同的总额以及持续发生的转账，凸显事件仍有未解疑问。交易所表示将承担用户损失。账户余额查询计划于 November 9 恢复，但存款、提款和交易仍暂停，且尚未公布恢复日期。

正文

区块链研究指出，与 Mercado Bitcoin 安全事件相关的活动在交易所宣布已控制事件后仍持续发生，因此该事件再次引发关注。Bitquery 于 Thursday 更新的分析追踪了 11 条区块链上的被盗资产，并发现数千个 Ethereum 客户存款地址发生转账。这些发现使交易所对事件被制止速度的公开说法变得更加复杂，但单凭这些数据仍无法解释攻击者如何获得访问权限，也无法确定漏洞究竟何时开始。

交易所于 November 2 巴西时间上午 9:56 宣布已迅速控制事件。Bitquery 的记录显示，36,042 个与客户相关的 Ethereum 存款地址在巴西时间上午 9:27 至下午 1:56 之间遭到清空。据报的这段时间始于控制事件的公告之前，并在公告后持续近四小时。这段时间重叠相当重要，因为它显示公告发布后，来自已识别地址的转账似乎仍获得了授权。

报告指出，这些特定 Ethereum 地址持有的资金约为 $266,000。这仅占整体估计损失的一小部分。不过，这对于了解事件可能如何发展仍然重要：这些地址与客户相关，其余额在交易所表示漏洞已得到控制后仍遭转出。地址内资金的数字与整体盗窃金额描述的是不同范围，不应误认为是针对同一笔资金的相互矛盾估计。

若要理解据报的交易，首先要区分客户存款地址与交易所共用的运营钱包。存款地址的功能类似个人接收加密货币的账户。客户可以将资产发送至该地址，之后交易所可能定期将资金集中至共用的在线钱包，通常称为热钱包。热钱包用于日常交易，并连接到能够授权转账的系统。然而，若要从单个存款地址转出加密货币，必须获得与该地址相关的授权。

Bitquery 表示，其观察到的提款是由存款地址直接授权。实际而言，这表示攻击者可能获得了相关私钥，或能够代表这些地址签署交易的系统访问权限。私钥是用于授权加密货币转账的机密凭证。若没有必要的授权，通常无法通过有效的链上交易转移地址中的资金。

研究人员提醒，可能造成的影响或许不只限于已观察到的地址。交易所通常会从单一主密钥派生客户存款密钥。如果攻击者获得该主密钥，或能够访问使用该密钥的服务，其他客户地址也可能受到影响。Bitquery 将疑虑概括为，相关活动需要“每个地址各自的密钥，或能进入替这些地址签署交易的系统”。这是对可能存在访问权限的警示，并非所有存款地址都已遭入侵的证据。

对于正在考虑是否重复使用旧存款地址的客户而言，这一区分很重要。Bitquery 建议，在 Mercado Bitcoin 确认旧存款地址安全之前，用户不要重复使用。这项建议反映出目前仍无法确定暴露范围。如果密钥或签名系统仍遭入侵，使用受影响的地址可能带来额外风险。这项研究并未证明所有旧地址都不安全，但建议客户等待交易所直接确认。

据报的盗窃总额也存在争议。最初估计金额超过 $40 million。Mercado Bitcoin 更新后的常见问题页面指出，受影响资产约为 $36.3 million。相比之下，Bitquery 估计在 11 条区块链上共有 $48.6 million 遭窃。这些总额存在显著差异。差异可能来自所计入的资产、地址、网络或交易范围不同，但已公布的更新信息并未解释这一差距。因此，应将数据归于各自来源，而不应将其视为已确定的最终损失。

根据其公开更新内容，Mercado Bitcoin 尚未说明为何已识别地址在宣布事件得到控制后仍持续发生转账，也未详细核对自身估计与 Bitquery 较高数据之间的差异。缺乏解释使重要问题仍悬而未决：交易所所说的“得到控制”具体指什么、控制措施是涵盖所有受影响系统还是仅涉及事件的一部分，以及公司何时发现后续交易。区块链数据记录了交易活动，但单靠这些数据无法确认交易所在各个时间点的内部知情情况。

交易所已向客户保证，将以自有资金承担用户损失。这项承诺解决了受影响客户可能如何获得补偿的问题，但无法解决访问权限的技术疑问、损失估计的差异，或现有存款地址的安全性。客户和观察者仍需要更多信息，才能了解损失将如何计算，以及交易所在恢复正常运营前采取了哪些防护措施。

Mercado Bitcoin 的重新开放计划初期范围有限。交易所计划于 November 9 恢复账户余额查询。公告并未确定存款、提款或交易恢复的日期。因此，客户可能先能查看账户余额，之后才可以使用平台的主要服务。这一区分很重要：恢复账户信息的访问权限，并不等于恢复资金访问权限或重新开放交易。

总体而言，Bitquery 的调查结果让 Mercado Bitcoin 漏洞事件的发生时间与规模都受到质疑。链上时间线显示，来自 36,042 个 Ethereum 存款地址的转账持续至巴西时间下午 1:56，远晚于上午 9:56 的事件受控公告。Bitquery 对 11 条区块链上总额 $48.6 million 的估计，也高于交易所约 $36.3 million 的估计。在 Mercado Bitcoin 详细说明后续转账、核对财务估计，并确认哪些地址安全之前，事件的完整范围仍不明朗。

重点摘要表