Mercado Bitcoin évalue à environ 38 millions de dollars les actifs concernés par un incident de sécurité et affirme que les fonds des utilisateurs sont en sécurité

Mercado Bitcoin revoit à la baisse l’ampleur rapportée de l’incident

Mercado Bitcoin évalue à environ 38 millions de dollars les actifs concernés par son incident de sécurité, tout en assurant à ses clients qu’ils ne perdront pas leurs fonds. L’événement a conduit la plateforme brésilienne à suspendre les dépôts et les retraits lundi. Dans sa communication publique, elle présente l’interruption du service comme une mesure de précaution, et non comme l’annonce d’une perte des soldes des clients. Selon les informations fournies, la plateforme n’a pas affirmé que tous les actifs avaient été récupérés ; elle indique plutôt que les opérations de confinement et de récupération se poursuivent.

Le chiffre avancé par la plateforme est inférieur à l’estimation initiale de l’ampleur de l’incident, rapportée par la société de sécurité blockchain Hypernative, qui a indiqué que plus de 40 millions de dollars avaient quitté, pendant la nuit, des portefeuilles liés à Mercado Bitcoin. Ces chiffres correspondent à des mises à jour différentes : Hypernative a fourni une estimation préliminaire des sorties observées, tandis que la plateforme a ensuite évalué à environ 38 millions de dollars les actifs concernés. La source n’explique pas cet écart et n’établit pas que les estimations portent exactement sur les mêmes transferts ; elles ne doivent donc pas être considérées comme directement interchangeables.

L’évaluation préliminaire de Hypernative portait sur des transferts sur au moins 10 blockchains, dont Bitcoin, Ethereum, Solana et Tron. Cette ampleur fait de l’incident davantage qu’un simple signalement d’activité sur un seul réseau, mais elle ne révèle pas à elle seule comment les portefeuilles ont été accessibles ni qui en est responsable. Le montant annoncé par la plateforme d’échange et l’estimation initiale plus élevée de Hypernative donnent donc une indication de l’ampleur des faits, et non un récit complet de ce qui s’est passé ni de la situation de chaque actif concerné.

Les services suspendus après des transferts suspects depuis des portefeuilles

Mercado Bitcoin a déclaré avoir détecté un incident dans l’un de ses systèmes aux premières heures de lundi et avoir temporairement suspendu l’accès à ses services par mesure de précaution, afin de protéger les actifs de ses clients. Les dépôts et les retraits ont été interrompus pendant que l’entreprise s’efforçait de rétablir ce qu’elle a décrit comme des conditions de sécurité optimales. Cette mesure a limité l’accès aux fonctions habituelles de la plateforme d’échange, mais la source ne précise pas quand les services rouvriront. La plateforme indique qu’ils ne reprendront que lorsque les conditions de sécurité requises seront réunies.

Selon le récit de l’incident, le premier transfert suspect a été enregistré à 2 h 15 UTC. Les mouvements les plus importants ont suivi entre 6 h 19 et 6 h 53 UTC, lorsque des portefeuilles liés à Mercado Bitcoin ont envoyé des fonds vers des adresses nouvellement créées. Cette chronologie fait apparaître un intervalle entre la première transaction suspecte enregistrée et la période où les transferts signalés ont été les plus importants. Elle ne permet pas de déterminer quand le problème d’accès ou d’autorisation sous-jacent a commencé, ni pendant combien de temps les portefeuilles concernés ont pu être exposés.

Les transferts semblaient être des transactions signées ordinaires, c’est-à-dire qu’ils avaient été envoyés comme si les portefeuilles sources les avaient autorisés. Hypernative a indiqué qu’on ne savait toujours pas comment un attaquant avait obtenu la capacité de signer les transactions. Cette incertitude est importante, car l’activité visible sur la chaîne ne permet pas, dans la source, d’identifier la méthode utilisée pour obtenir le pouvoir de signature. Aucune explication confirmée n’indique ici si des identifiants, des systèmes ou un autre élément du processus de signature ont été compromis ; toute description précise de la faille irait donc au-delà des éléments fournis.

Les efforts de blocage et de récupération se poursuivent

Mercado Bitcoin indique avoir déjà bloqué 11 millions de dollars en coordination avec Tether, Circle, Paxos, BRL1 et Chainalysis. La plateforme d’échange a également déclaré avoir identifié d’autres montants susceptibles d’être bloqués, les efforts de confinement étant toujours en cours. Le montant bloqué constitue une partie déclarée de la réponse, et non la preuve que la totalité des 38 millions de dollars signalés a été récupérée. Le compte rendu ne précise pas non plus à combien s’élèvent les montants nouvellement identifiés, quels actifs sont concernés ni si d’autres blocages ont été effectués depuis.

La coopération avec les émetteurs et les autres partenaires nommés est au cœur de la réponse décrite par la plateforme d’échange : les blocages signalés ont été effectués en coordination avec eux, tandis que Chainalysis figure également parmi les partenaires. Concrètement, cela signifie que certains actifs identifiés lors de l’incident pourraient être visés par des mesures de blocage, et pas seulement suivis. Toutefois, la source ne précise pas la répartition des mesures par partenaire ou par jeton, ni les autres actions que chaque partie pourrait entreprendre. L’issue des efforts en cours reste donc incertaine.

La plateforme d’échange avait précédemment déclaré qu’aucune donnée client n’avait fait l’objet d’une fuite. Cette déclaration concerne un problème distinct du transfert d’actifs : l’activité de transfert signalée ne prouve pas, à elle seule, que des informations sur les clients ont été exposées. La source ne décrit pas l’étendue d’une éventuelle enquête sur l’accès aux données et ne fournit aucun nouvel élément technique à ce sujet. Pour l’instant, le rapport confirme uniquement l’assurance précédemment donnée par la plateforme concernant les données, ainsi que son assurance actuelle selon laquelle les clients ne perdront pas de fonds.

Le mécanisme de transfert et le contexte général restent incertains

La conséquence opérationnelle immédiate a été la suspension des dépôts et des retraits, leur rétablissement étant conditionné au retour à des conditions de sécurité pleinement satisfaisantes, sans échéance annoncée. Les clients n’ont donc pas pu accéder à ces fonctions pendant que la plateforme d’échange gérait l’incident. L’assurance de Mercado Bitcoin concernant les pertes est importante, mais la source ne précise pas comment la plateforme couvrirait un éventuel manque à gagner si les efforts de récupération échouaient, ni sur quoi repose exactement sa confiance. Ces points restent sans réponse dans les informations fournies.

Le rapport situe la compromission parmi d’autres préoccupations en matière de sécurité, notamment un piratage de Binance évalué à 6,3 milliards de dollars, signalé séparément, et un vol présumé relevé par l’enquêteur spécialisé dans la blockchain ZachXBT. Cette autre affaire aurait impliqué plus de 133 millions de dollars de retraits sur des plateformes d’échange centralisées liés à une entité européenne non identifiée. Il s’agit d’incidents distincts, et la source ne les relie pas à Mercado Bitcoin. Leur mention apporte un éclairage sur le secteur, mais ne constitue pas une preuve qu’ils impliquent le même pirate, la même méthode ou la même cause.

Pour Mercado Bitcoin, les principales questions en suspens sont de savoir comment l’autorité de signature a été obtenue, si d’autres actifs peuvent être bloqués et quand les dépôts et les retraits pourront reprendre en toute sécurité. La plateforme a donné une valeur approximative de l’incident, indiqué que 11 millions de dollars avaient été bloqués et précisé que les mesures de confinement se poursuivaient, mais la source ne fournit ni bilan définitif des actifs récupérés ni explication technique. Tant que ces informations ne seront pas disponibles, l’ampleur de l’incident et la réponse pourront être décrites à partir des déclarations actuelles, tandis que le mécanisme de la compromission et son issue définitive resteront incertains.

Source : CryptoPotato