Хакер виводив кошти з Mercado Bitcoin після заяви про локалізацію, збиток $48,6 млн
Аналітики Bitquery встановили, що зловмисник виводив активи з бразильської біржі Mercado Bitcoin ще близько чотирьох годин після офіційної заяви про локалізацію інциденту. Збитки оцінили у $48,6 млн.
Хронологія виведення коштів 2 листопада
Ончейн-дані, які вивчила Bitquery, показують перекази вже після того, як біржа повідомила про локалізацію інциденту. Заяву Mercado Bitcoin опублікували о 12:56 UTC, а несанкціоновані перекази тривали до 16:56 UTC.
| Час (UTC) | Подія |
|---|---|
| 12:27 | Початок виведення з клієнтських депозитних адрес у мережі Ethereum |
| 12:56 | Mercado Bitcoin заявляє про локалізацію інциденту |
| 16:56 | Останні несанкціоновані перекази за ончейн-даними |
| 18:08 | Гаманець, пов’язаний з біржею, надіслав зловмиснику близько $124 000 |
Протягом чотирьох з половиною годин з 36 042 адрес в Ethereum вивели близько $266 000. Основна частина цих операцій припала на період після заяви біржі.
Як зловмисник отримав доступ до активів
Bitquery описує атаку як кілька етапів. Спочатку зловмисник спустошив гарячі гаманці Mercado Bitcoin одразу в кількох мережах. З основного гаманця Ethereum за 24 хвилини вивели активи на $29,5 млн, зокрема 2852 ETH, USDT, USDC та інші токени.
Згодом він переказував активи з клієнтських депозитних адрес на підконтрольні гаманці. Кожна транзакція підписувалася безпосередньо адресою відправника, що вказує на доступ до приватних ключів або інфраструктури для підпису переказів. Схожа активність зафіксована в BNB Chain і Base.
Точний механізм первинного проникнення в інфраструктуру біржі досі невідомий. На Ethereum припало близько 61 % загальних втрат.
Заморожені кошти та перерозподіл викраденого
На момент дослідження емітенти стейблкоїнів заморозили близько $11,8 млн:
- Tether: $5,9 млн
- Circle: $4,3 млн
- Paxos: близько $1,5 млн
Упродовж 3–4 листопада зловмисник конвертував 136 різних активів на суму $11,9 млн у ефір, скориставшись MetaMask. Станом на останню перевірку у його розпорядженні лишалися 8678 ETH, розподілені між десятьма гаманцями в мережі Ethereum, і 106,07 BTC, які не рухалися.
Розбіжність між заявою біржі та даними Bitquery
Раніше Mercado Bitcoin повідомила про інцидент безпеки, пов’язаний з активами близько $38 млн. Платформа заявила, що користувачі не зазнають фінансових втрат, і тимчасово призупинила депозити та виведення коштів.
Bitquery оцінює загальні збитки у $48,6 млн, що більше за початкові дані компанії. Висновки аналітиків ставлять під сумнів ефективність заходів, які біржа вжила одразу після інциденту: зловмисник зберігав змогу розпоряджатися коштами на депозитних адресах ще кілька годин.
Що це означає для клієнтів Mercado Bitcoin
Оцінки біржі та аналітиків різняться: $38 млн проти $48,6 млн. Заява про відсутність втрат для клієнтів не узгоджується з ончейн-даними, наведеними в джерелі, тож остаточна картина збитків поки неясна.
Механізм проникнення не встановлено, тому немає підстав вважати, що доступ до гарячих гаманців і депозитних адрес повністю закритий. Варто стежити за офіційними оновленнями біржі щодо відновлення депозитів і виведення коштів.
Примітка редакції: Заморожені стейблкоїни в розбивці (Tether $5,9 млн, Circle $4,3 млн, Paxos близько $1,5 млн) дають у сумі $11,7 млн, а загальна сума в джерелі — близько $11,8 млн; різниця не пояснена.
Примітка редакції: Оцінки збитків різні: Mercado Bitcoin називала інцидент пов’язаним з активами близько $38 млн, Bitquery — $48,6 млн; методологію різниці в джерелі не наведено.
Часті питання
Скільки коштів вивели з Mercado Bitcoin?
Bitquery оцінює загальні збитки у $48,6 млн, тоді як Mercado Bitcoin раніше назвала інцидент, пов’язаний з активами близько $38 млн. Близько 61 % втрат припало на Ethereum. З 36 042 клієнтських адрес у цій мережі вивели приблизно $266 000 за чотири з половиною години.
Чи тривав злам після заяви біржі?
Так. Mercado Bitcoin опублікувала заяву о 12:56 UTC 2 листопада 2026 року, а ончейн-дані показують несанкціоновані перекази до 16:56 UTC. Гаманець, пов’язаний з біржею, надіслав зловмиснику близько $124 000 о 18:08 UTC, понад п’ять годин після заяви про локалізацію атаки.
Чи вдалося заморозити викрадені кошти?
Частково. На момент дослідження емітенти стейблкоїнів заморозили близько $11,8 млн: Tether на $5,9 млн, Circle на $4,3 млн, Paxos близько $1,5 млн. Водночас у дні 3–4 листопада хакер конвертував активи на $11,9 млн в ефір через MetaMask, а на десяти гаманцях Ethereum ще лежало 8678 ETH.
Чи постраждали клієнти Mercado Bitcoin?
Mercado Bitcoin заявила, що користувачі не зазнають фінансових втрат, і тимчасово призупинила депозити та виведення коштів. Аналітики Bitquery вказують, що зловмисник мав доступ до клієнтських депозитних адрес. Точний механізм проникнення досі невідомий, тож остаточна картина втрат у джерелі не наведена.
Раніше ми писали
- Tether заявила 150 000 BTC: розрив зі звітом на 50 000 — 04.11.2026
- HYPE ETF залучили $605 000 попри відтік з BTC і ETH — 04.11.2026
- ZachXBT: Arkéa ймовірна жертва крадіжки на $133 млн — 04.11.2026
Джерела
