Mercado Bitcoin 安全事件后续：攻击者持续盗取超4800万美元资产

最新区块链分析揭示，尽管巴西加密货币交易所 Mercado Bitcoin 声称已遏制安全漏洞，但其关联的客户存款地址在宣布事件控制后的近四个小时内，仍持续被清空。

Bitquery 在周四发布的报告指出，从巴西时间 11 月 2 日上午 9:27 至下午 1:56 期间，共有 36,042 个以太坊存款地址遭恶意转账，涉及资金约 26.6 万美元。虽然该金额仅占总损失的一小部分，但关键在于这些操作发生在交易所官方声明之后，表明攻击行为并未停止。

攻击者如何绕过安全机制？

客户存款地址类似于个人收款账户，用于接收用户存入的数字资产。正常情况下，这些资金随后会被集中至一个“热钱包”中，由交易所处理交易。资金转移需对应私钥授权，而此次事件中，所有提款均由存款地址直接发起，暗示攻击者可能已获取私钥，或拥有系统级代签权限。

研究人员指出：“这要么意味着每个地址的密钥已被泄露，要么存在一个能代表所有地址签署交易的中央系统。”由于交易所通常采用主密钥生成多个子密钥，一旦主控权受损，整个账户体系将面临连锁风险。

关于被盗总额，各方数据存在差异。初步估算损失超过 4000 万美元，而 Mercado Bitcoin 更新后的常见问题解答将受影响金额定为约 3630 万美元。相比之下，Bitquery 的综合分析认为实际损失高达 4860 万美元，覆盖 11 条不同区块链。

交易所声明与链上事实的矛盾

Mercado Bitcoin 在巴西时间 11 月 2 日上午 9:56 发布公告称已迅速控制事件，但链上数据显示，大量资金仍在后续时段被转移。这一时间差暴露了其“快速响应”说法的可信度问题，且公司未就为何能在声明后仍允许资金流出作出解释。

目前，该交易所承诺将动用自有资金弥补用户损失，并计划于 11 月 9 日重启服务，初期仅开放账户余额查询功能。充值、提现及交易功能的恢复时间尚未公布。

Bitquery 建议用户在确认存款地址安全性前，避免重复使用旧地址。同时提醒投资者关注链上活动，警惕潜在的二次风险。