Brezilyanın en büyük Bitcoin borsalarından biri olan Mercado Bitcoin, pazartesi günü cüzdanlardan 46 milyon doların üzerinde kripto para çekilmesine yol açan bir güvenlik olayını doğruladı. Şirketin para yatırma ve çekme işlemlerini askıya aldığını duyurmasına rağmen, olayla bağlantılı adresler sonraki saatler boyunca fon almaya devam etti.
Güvenlik firmaları, saldırının akıllı sözleşme istismarı yerine standart transferler yoluyla gerçekleştirildiğini belirtti.
CertiK‘te kıdemli güvenlik mühendisi olan Dickson Wu, olayla ilgili bir ön inceleme yazısı yayımladı ve saldırganların Base, Optimism ve Arbitrum dahil olmak üzere “dört saat boyunca sekiz küçük zinciri didik didik ettiğini” belirtti. Saldırı daha sonra şirketin ana sıcak cüzdanlarına yöneldi ve 27.160 farklı adresten küçük miktarlarda Ether’i (ETH) transfer etti.
“Bunu yapan kişi, MBnin müşteri para yatırma adreslerinden de para çekebilir,” diye yazdı.
Askıya alma kararına rağmen fon hareketleri sürdü
Wu‘ya göre, Mercado Bitcoin’in para yatırma ve çekme işlemlerini geçici olarak askıya aldığını duyurmasından saatler sonra ihlalle bağlantılı adreslerden fon çıkışı devam etti; bunun ardından tek bir adrese binlerce küçük ETH transferi yapıldı.
Mercado Bitcoin sözcüsü Cointelegraph‘a müşterilerin herhangi bir kayıp yaşamadığını ve hiçbir verinin sızdırılmadığını söyledi, ancak şirket devam eden transferler hakkında yorum taleplerine yanıt vermedi. Bir veri ihlali, Brezilya’nın veri koruma makamına bildirimde bulunulması gerekliliğini de doğurabilir.
Saldırı henüz organize bir gruba atfedilmedi ve soruşturma sürüyor.
Çalınan fonların yaklaşık 6,2 milyon dolarlık kısmı, 16:42 UTC itibarıyla stablecoin ihraççıları Tether ve Circle tarafından dondurulmuştu. Yaklaşık 20 milyon dolar yeni oluşturulan cüzdanlara aktarılmışken, 20 milyon doların üzerindeki miktar Mercado Bitcoin tarafından tespit edilen bağlantılı adreslerde kaldı; buna 106 BTCnin tamamı da dahil.
Mercado Bitcoin ihlal listesine katıldı
Mercado Bitcoin‘in, stablecoin ihraççısı Tether’ın tokenizasyon, ödemeler ve kredi alanlarındaki genişlemesini desteklemek için 20 milyon dolarlık yatırım yaptığını açıkladığı temmuz ayı itibarıyla 4,5 milyon kullanıcısı vardı. Latin Amerikada Tether destekli bir başka borsa olan Şili merkezli Orionx, adli denetimde 7 milyon dolardan fazla müşteri varlığının kontrolü dışındaki cüzdanlara aktarıldığının tespit edilmesinin ardından eylül ayında kapandığını duyurdu.
Olay, Binance‘in perşembe günü sıcak cüzdanlarını hedef alan 6,3 milyar dolarlık bir saldırı bildirmesinden günler sonra gerçekleşti. Borsa, para yatırma ve çekme işlemlerini askıya aldı ve müşteri kayıplarını karşılayacağına söz verdi. Binance, çalınan varlıkların yüzde 95’ini yenilediğini belirterek pazar günü çekimleri yeniden başlatmaya başladı.