新的区块链研究显示，一名攻击者在巴西交易所Mercado Bitcoin表示已控制住安全漏洞近四小时后，掏空了与该交易所关联的存款地址。

Bitquery于周四更新的分析追踪到跨11条区块链的价值超过4800万美元的被盗资产。其发现对交易所关于其迅速阻止了攻击的说法提出了质疑。

比特币交易所于11月2日巴西时间上午9：56宣布已迅速控制住该事件。Bitquery表示，在巴西时间上午9：27至下午1：56之间，36，042个以太坊客户存款地址被清空。

11月BTC低点

这些地址持有约26.6万美元，仅占总失窃金额的一小部分。但在交易所发布公告后，攻击者仍可能转移这些资金。

客户充值地址的作用很像加密货币的个人收款账户。交易所随后会将这些币归集到一个共享的在线钱包中，称为热钱包，以处理日常交易。从充值地址转移资金需要其私钥，即授权转账的密钥。

Bitquery 表示，这些提款是由存款地址直接授权的，这表明攻击者能够访问其私钥，或访问能够代表其签署交易的系统。

“这需要为每个地址配备一把密钥，或者找到一种能替它们签名的系统入口，”研究人员解释道。他们警告说，交易所通常从单一主密钥生成存款密钥，这意味着攻击者可能仍能访问其他客户的地址。

被盗金额同样存在争议。初步估计金额超过4000万美元，而Mercado Bitcoin更新后的FAQ现在将受影响资产定在约3630万美元。Bitquery估计在11条区块链上共被盗4860万美元。

Mercado Bitcoin 的公开更新并未解释其控制声明与后续转账之间的差距。该公司向客户保证，将用自有资金弥补用户损失。

Bitquery 警告客户不要重复使用旧存款地址，直到交易所确认这些地址安全为止。Mercado Bitcoin 的重启计划从 11 月 9 日开始，仅允许查看余额；存款、取款和交易均无重启日期。