Mercado Bitcoin disait avoir stoppé le piratage, les vols ont continué selon Bitquery

Mercado Bitcoin affirme avoir contenu le piratage qui a visé sa plateforme le 2 novembre. Pourtant, l’analyse de Bitquery révèle que des milliers d’adresses de dépôt ont perdu leurs fonds après cette annonce. Les chercheurs ont suivi 48,6 millions de dollars d’actifs sur onze blockchains. Cette chronologie interroge le moment réel du confinement et l’étendue de l’accès obtenu par l’attaquant, notamment aux fonds liés au bitcoin. Elle met en lumière les limites des premières informations initiales publiques.

Bitquery retrace des transferts après l’annonce

La plateforme a annoncé le 2 novembre, à 9 h 56, avoir maîtrisé l’incident. Pourtant, Bitquery situe des mouvements après cette communication. 36 042 adresses de dépôt Ethereum ont été vidées entre 9 h 27 et 13 h 56. Les transferts ont continué près de quatre heures après l’annonce.

Ces adresses contenaient environ 266 000 dollars, une faible part du montant estimé. Le vidage de ces adresses reste important pour comprendre la chronologie. Les données montrent que le pirate pouvait déplacer des fonds après l’annonce de Mercado Bitcoin. Elles concernent des dépôts de clients, pas seulement un portefeuille central.

Une adresse de dépôt reçoit les cryptomonnaies d’un client. La plateforme rassemble les actifs dans un portefeuille chaud partagé pour les opérations courantes. Chaque transfert exige une clé privée. Ici, les retraits semblent avoir été autorisés directement par les adresses concernées, selon l’analyse de Bitquery.

Les clés privées du bitcoin au cœur des interrogations

Cette méthode suggère que l’attaquant disposait des clés privées ou d’un système capable de signer au nom des clients. Les chercheurs évoquent deux pistes : obtenir une clé pour chaque adresse ou exploiter une faille d’authentification. L’analyse ne tranche pas. Elle souligne un risque lié à l’architecture des dépôts.

Les plateformes génèrent les clés de dépôt à partir d’une clé maîtresse unique. Si cette clé ou le système associé a été compromis, l’accès pourrait dépasser les adresses vidées. Bitquery avertit que d’autres dépôts pourraient rester exposés. Cette hypothèse concerne aussi les adresses liées au bitcoin, même si les mouvements décrits portent sur Ethereum.

Les chercheurs recommandent de ne pas réutiliser les anciennes adresses avant une confirmation officielle de sécurité. Cette consigne vise à éviter de nouveaux transferts vers des adresses vulnérables. Pour les détenteurs de bitcoin, la prudence passe par la vérification des informations de la plateforme avant toute opération.

Le montant du vol et la reprise des services restent à clarifier

L’évaluation financière varie selon les communications. Les premières estimations évoquaient plus de 40 millions de dollars dérobés. Le FAQ actualisé de Mercado Bitcoin ramène le montant à environ 36,3 millions. Bitquery estime les actifs volés à 48,6 millions de dollars sur onze blockchains.

L’écart entre ces évaluations dépasse douze millions de dollars, sans explication publique. Mercado Bitcoin ne détaille pas pourquoi les transferts ont continué après le confinement déclaré. L’entreprise a toutefois assuré qu’elle rembourserait les pertes des utilisateurs avec ses propres fonds. Cette promesse concerne les pertes de ses clients.

La plateforme prévoit une reprise dès le 9 novembre. Les clients pourront d’abord consulter leurs soldes. Dépôts, retraits et transactions resteront indisponibles à cette étape. Cette ouverture limitée précédera le rétablissement des services, tandis que les utilisateurs attendent des précisions sur leurs avoirs.

La suite dépendra des vérifications et de la réouverture annoncées par Mercado Bitcoin. La plateforme devra préciser si les anciennes adresses sont sûres. D’ici là, les clients devront suivre ses consignes et éviter tout dépôt sur une adresse non confirmée. Le bilan reste à établir.