比特币 Mercado 黑客事件：外部攻击还是内部攻击？ 巴西最大的加密货币交易所 Mercado Bitcoin 在 67 分钟内被清空，整个攻击造成的网络费用损失仅为 120 美元。 我逐笔分析了以太坊和比特币上的交易，这两个网络都可以从外部进行审计。 11 月 2 日凌晨，3790 万美元被盗。 而与四天前币安事件相比，此次事件的关键在于其差异。 在币安，攻击者利用 EIP-7702 签名执行了第三方代码。在获得授权委托书后，攻击者在 204 秒内通过一次调用盗取了 64 笔资产。 而在 Mercado Bitcoin，攻击者没有获得授权委托书。 我检查了与涉事地址关联的代码，发现所有代码均为空，这意味着没有附加任何合约。 如果没有委托，不可能一次性拿走所有东西。 因此，在24分钟内，191种资产共进行了194笔交易，这些交易都是使用热钱包密钥连续签名完成的。 丢失授权书和丢失密钥并非同一回事。 在前一种情况下，密钥的所有者仍然持有密钥，并授权了一些他们并不理解的操作。在后一种情况下，密钥只是落入了其他人手中。 而且，密钥并不需要从所有者手中被窃取才能生效。它只需要被复制，而所有者甚至可能毫不知情。 这种方法的一个细节说明了一切。 凌晨3点24分，只剩下0.0001个ETH，这点钱甚至不够支付手续费。24秒后，剩下的全部消失了，一次性损失了2852个ETH。 他们在使用密钥之前对其进行了测试。 剩余的金额比损失的金额更能说明问题。这106个比特币被困在一个地址里，没有移动过一个聪 。 而且大部分代币仍然留在原地，因为转移代币需要消耗gas费，并且会在每个合约中留下痕迹。 几个小时后，提现功能被暂停，公司声称事件已得到控制，但客户的存款地址开始被清空。 截至晚上8点24分，也就是公告发布十个半小时后，我统计到有19,313个地址向攻击者发送了以太币。 这表明，问题不在于某个钱包的密钥，而在于能够为多个钱包签名，而且即使在他们关闭了所有可以关闭的功能之后，这种签名能力仍然存在。 无论如何，网络本身并没有崩溃。它一如既往地执行着它的工作，即服从任何使用正确密钥签名的人。 真正崩溃的是安全机制，而安全机制的缺陷在于公司自身。 这是一份初步报告，仅基于链上分析的公开数据撰写而成。公司尚未提供报告的作者信息和官方回应。