Mercado Bitcoin遭駭逾4,000萬美元　一般交易特徵指向熱錢包簽署金鑰遭竊

巴西最大加密貨幣交易所Mercado Bitcoin週一暫停所有客戶存款與提款。此前數小時，由該交易所營運的錢包將超過4,000萬美元的数字資產轉往攻擊者控制的地址，涉及至少10條區塊鏈。

Mercado Bitcoin在X發表聲明表示：「我們今晨很快辨識並控制了我們其中一個系統的安全事件。」交易所同時表示，沒有任何客戶蒙受損失，也沒有發生資料外洩。為預防並保護客戶，該交易所暫停支付通道並展開調查，同時追蹤被竊資產，並與執法機構合作。

官方聲明內容如下：

「我們今晨很快辨識並控制了我們其中一個系統的安全事件。

我們再次強調：

• 沒有任何客戶遭受損失；
• 沒有發生資料外洩。

作為預防性保護措施，存款與提款服務……」

交易格式透露關鍵線索

這起事件最值得關注的技術細節，是攻擊者採取何種方式轉移資金。加密貨幣安全公司Opsek創辦人Pablo Sabbatella轉述的一份報告指出，被竊資金是透過一般交易移動，並非利用智慧合約漏洞發動攻擊。一般交易是錢包對錢包的普通轉移，只需要發送方的私鑰即可完成；相較之下，智慧合約漏洞是藉由鏈上程式碼的缺陷發動，通常只會對單一合約發出一筆精心設計的呼叫交易，而非進行數百筆例行轉帳。

這種差異指向一種特定的失效模式。如果Ethereum、Solana、Tron、Polygon、Arbitrum、Avalanche、BSC與Stellar上的錢包都開始把資金轉往新建立的地址，攻擊者最可能已經取得交易所熱錢包的簽署金鑰。熱錢包是連接網路、用於快速處理提款的錢包；冷 storage與多方簽章機制的目的，正是讓相關金鑰保持離線並分散保管。如此廣泛且同時發生的資金流失，顯示交易所的營運簽署金鑰可能遭到批量曝露。

報告指出，最大資金外流窗口介於06:19至06:53 UTC之間，約半小時內，接近12條鏈上的錢包幾乎同時遭到清空。根據這項鏈上分析，攻擊者目前持有的資產約包括2,852枚ETH、106枚BTC、10,700枚SOL、77,000枚AVAX及670萬枚XLM，另有較小數量的部位分布在約200種代幣中。不過，這些數字僅來自單一項鏈上分析。

Mercado Bitcoin尚未證實Hypernative等安全公司估算的4,000萬美元損失金額，也未說明攻擊者如何進入其系統。交易所在後續貼文中公布了已辨識出的收款地址，涵蓋五類網路，包括EVM鏈、Bitcoin、Solana、Stellar及Tron，以便其他服務追蹤相關資金。

凍結能解決什麼、無法解決什麼

第一項具體的资金追回措施由Tether採取。Tether執行長Paolo Ardoino在X表示：「Tether已凍結超過450萬枚與這起安全事件有關的USDT。」Tether可以將持有其美元計價穩定幣的地址列入黑名單，使相關代幣無法再轉移。不過，凍結本身並不能把資產直接歸還給原持有人，而且只能涵蓋部分損失。攻擊者持有的大部分部位是ETH、BTC、SOL、XLM及AVAX，這些資產沒有任何發行方能夠予以凍結。

本起事件發生在駭客於10月29日從Binance轉走超過60億美元的四天後。美國聯邦調查局將Binance遭竊事件歸因於北韓的TraderTraitor組織。Binance此後已重新開放提款，並表示已補足約95%的受影響資產。據報，這次攻擊與Mercado Bitcoin事件一樣，都是透過遭入侵的營運存取權而非鏈上程式碼發動；Binance遭竊案的相關報導也指出，攻擊是經由一台筆電完成，而非利用智慧合約。目前Mercado Bitcoin案件尚未作出任何身分歸因，也沒有公開證據顯示兩起事件彼此有所關聯。

Mercado Bitcoin的存款與提款服務仍維持暫停狀態，交易所尚未公布恢復服務的日期。