11月1日から2日にかけての深夜、約25分間でMercado Bitcoinの運用ウォレットが10の異なるネットワーク上の未知のアドレスへ資金を送金した。ブラジル最大の暗号資産取引所であるMercado Bitcoinへの攻撃は、同日朝に取引所自身が認めた。入出金は停止され、同社は顧客データへの被害はないと主張しているが、流出額は開示していない。Hypernativeによる第一報では4000万ドル超、Bitqueryの調査では4850万ドルとされているが、いずれも取引所が確認していない第三者による推計である。
Gaurav Agarwal
本稿は、Bitqueryのオンチェーン調査、Arkhamの分析、The Record・Cointelegraph・Bitcoin Magazineの報道を参照した。Mercado Bitcoin(MB)の公式コメントはInfoMoney・CNN Brasil・Exameが伝えたテキストを使用し、Banco Centralの規制については Capital Abrerto の解説を参考にした。MBのXへの投稿とBloombergの記事は本稿の調査ツールでは開けなかったため、それらを引用した各媒体を通じて参照している。以下、UTC時刻で事実を段階的に整理する。
フェーズ1：準備と資金の引き出し
Arkhamによると、攻撃者はUTC01:22にBaseチェーン上でテスト送金を行った。CointelegraphがCertiKのDickson Wuを引用して伝えたところによれば、攻撃者は約4時間かけてBase・Optimism・Arbitrumを含む8つのマイナーネットワークを探索した。Bitqueryは、Mercado Bitcoinからの最初の流出より53分前に、これらのネットワーク上で約29万8000ドルの別の引き出しがあったと報告している。
Arkham
Bitqueryによる主要フェーズはUTC06:24から06:50、ブラジリア時間では午前3時24分から3時50分に相当する。この25分間で、取引所のホットウォレットが10のブロックチェーン上で攻撃者への送金を実行した。Ethereumからは2852ETHに加えUSDT・USDC・約185種類のトークンが流出し、合計2970万ドルに達した。Bitcoinからは106.07BTCが流出し、うち104.43BTCが単一取引で送られ、合計830万ドル相当となった。残りはSolana・Stellar・Arbitrum・Tron・Polygon・Avalanche・XDC・BNB Chainに分散している。Cointelegraphが引用したセキュリティ企業各社によると、これらの操作はスマートコントラクトの脆弱性を突いたものではなく、通常の署名済み転送である。
フェーズ2：ステーブルコイン発行体による凍結
むしろ最初の対応は取引所からではなく、ステーブルコイン発行体から来た。Bitqueryのタイムラインによると、TetherはUTC10:21にPolygon上のUSDT0を凍結し、続いてUTC11:37にTronとEthereumのUSDT、UTC14:55にSolana、UTC15:42にステーブルコインUSATを凍結した。TetherのCEOであるPaolo Ardoinoは450万USDT超の凍結を発表しており、The RecordとCNN Brasilがこの数字を引用している。PaxosはUTC14:28にPAXGとUSDPを凍結した。
合計額はタイミングによって異なる。Bitqueryの集計では約730万ドルが凍結され、これは流出総額の15%にあたる。内訳はTetherが590万ドル、Paxosが150万ドル。Circleは最終確認時点で凍結を行っていないとされ、USDC・EURCの約430万ドルは依然として移動可能な状態だった。Cointelegraphは UTC16:42時点でTetherとCircleが合計620万ドルを凍結したと報じた。資金凍結の能力は発行体ごとに異なり、これはUSDTとUSDCの比較でも解説した実務上の重要な違いだ。なおCointelegraphおよびBitcoin Magazineによれば、Tetherは今年7月にMercado Bitcoinへ2000万ドルを出資していた。
フェーズ3: 公式声明と入金アドレスの公開
実は、MBがXに最初の投稿をしたのはUTC12:56（ブラジリア時間9:56）だった。InfoMoneyが報じたテキストによれば、同取引所は「システムの一つで発生したインシデントを迅速に特定し封じ込めた」と述べ、顧客への被害もデータ漏洩もなく、入出金は予防措置として停止中だと説明した。UTC14:24の第2投稿では、Bitcoin・Ethereum互換ネットワーク・Solana・Stellar・Tronの宛先アドレスを公開し、追跡を可能にした。CNN Brasilの報道では、取引所チームは「関係当局」と対応を調整しているとされているが、具体的な機関名は示されていない。
最も重大な点は、顧客個人に割り当てられた入金アドレスの問題だ。Bitqueryによると、攻撃者はUTC12:10から入金アドレスの資産を引き出し始め、UTC15:44時点でもその作業を継続していた。Ethereum上で35,853アドレスから約26万1,000ドル相当、Bitcoinから53アドレス分が流出している。Bitqueryは、入金アドレスは通常単一のマスターキーから派生するため攻撃者が任意のアドレスに署名できると推論しているが、これはオンチェーンデータではなく推論にとどまる。The Recordが引用した専門家たちは、この根拠をもとに「顧客への被害なし」という声明に異議を唱えている。
フェーズ4: 資金の流れ先
Arkhamのデータによれば、攻撃者のウォレットから287件のスワップが実行され、マイナートークンの売却に使われた。Bitqueryは、MayanおよびChainflipブリッジを経由して約160万ドル相当のETHが移動したと報告しており、一方でRelayサービスは2件の注文を拒否した。Cointelegraphの報道では、UTC16:42時点で約2,000万ドルが新規ウォレットに移動済みであり、106 BTCを含む2,000万ドル超がMBによって通報されたアドレスに残っていた。攻撃者の帰属については、いかなる情報源も特定グループとの関連を示していない。資金が10のネットワークに分散される場合、ステーブルコインがどのネットワークで流通しているかが凍結権限の所在を左右するため、重要な判断軸となる。
「顧客への被害なし」が意味すること
言い換えると、Bloomberg（Bitcoin Magazine経由の報道）によれば、MBはすべての損失を自社で補填すると表明した。取引所プラットフォームに暗号資産を預けている場合、ユーザーはアドレスを直接所有しているのではなく、取引所に対する債権を持っているにすぎない。取引所が損失を穴埋めするなら、オンチェーン上でアドレスが空になっていても、ユーザーの残高は維持される。この2種類の保管形態の違いについては、セルフカストディ・取引所・ウォレット比較ガイドで詳しく解説している。
現時点では顧客は資金を移動できず、再開日も示されていない。Cointelegraphは、万一データ漏洩が確認された場合、ブラジルのデータ保護当局への通知義務が生じると指摘している。MBは公式チャンネルを通じて顧客に更新情報を提供すると述べており、公式チャンネルのみを参照することが取引所・当局を装った詐欺への最初の防御策にもなる。再開後に自分のウォレットへ資金を移したい場合は、暗号資産ウォレットの開設方法から始めるとよい。
ブラジルの規制的背景
言い換えると、今回の攻撃は、ブラジル中央銀行（Banco Central）の新規制が本格施行される週に発生した。Capital Abertoによると、暗号資産サービス提供企業に関する規則は2月2日から有効になっている。10月30日は、審査期間中の営業継続に必要な認可申請の第一段階の締め切りだった。Exameの報道では、MBはその申請を提出済みとされている。新規制は、顧客資産と自己資産の分別管理、ガバナンス体制の整備、鍵の保管に関するサイバーセキュリティ要件を求めており、プルーデンシャル要件の追加は2027年を予定している。参照した各情報源の中に、Banco Centralが今回の攻撃についてコメントしたという記録はない。
Mercado Bitcoinへの攻撃: 総括
確認済みの事実と未確認の情報
- 確認済み:11月2日夜にMBのシステムの一つでインシデントが発生。入出金が停止。宛先アドレスが公開。TetherおよびPaxosによる凍結がオンチェーンで確認済み。
- 未公表:公式被害額、侵害されたシステム、攻撃者の身元、再開日。4,000万〜4,850万ドルという推計は第三者によるもの。
- 今後の注視点:再開と損失補填の実施、依然として露出している入金アドレスの状況、Banco Centralの対応の有無。
より大きな文脈
4日前の10月29日、Binanceは記録上最大規模の暗号資産窃取被害を受けていた。Nextgovの報道によると、TRM Labsは被害額を63億6,000万ドルと推計し、FBIは北朝鮮に帰属すると結論付けている。両事件を結びつける情報源は存在しない。2件の事例はいずれも、スマートコントラクトよりも鍵管理・ホットウォレット・内部アクセスといったオペレーショナルセキュリティに注意が向くべきだという点を示している。攻撃者が通常の署名済み送金を使う限り、ブロックチェーン自体は異常を検出できない。
もう一つの教訓は、資金を止めた主体が誰かという点だ。最初の数時間で最も有効だった防御はステーブルコイン発行体によるもので、Tetherが最前線に立った。これはTetherの安定性と懸念をめぐる議論に直結する。攻撃時には有効なツールだが、その権限は少数の企業に集中している。今後追うべき指標は、再開日の発表、公式被害額の開示、そして認可申請締め切り直後のBanco Centralの反応だ。
