Mercado : l’enquête approfondie est là — les 48,5 M$ ne racontent pas toute l’histoire. Après que la plateforme a déclaré avoir « repris le contrôle », le pirate a encore vidé des comptes pendant plus de deux heures
Cet article fait le point sur notre précédent post (01:38) et comble les zones d’ombre : le montant des pertes a-t-il encore augmenté ? Y a-t-il eu une deuxième vague de gels ? L’inventaire détaillé des transactions on-chain de Bitquery vient de paraître. Il répond à ces deux questions, mais les détails sont plus alarmants que les chiffres eux-mêmes.
Commençons par les chiffres. Bitquery a dénombré 48,5 M$ sur 10 chaînes, valorisés au cours de chaque transfert. Ethereum représente à lui seul 29,5 M$ (188 transactions en 24 minutes), suivi de Bitcoin. Il faut préciser la méthode de calcul : les 48,5 M$ incluent un transfert d’un jeton EVA dont la capitalisation est inférieure au volume d’échanges d’une semaine (environ 1,21 M$). En le retirant, le total tombe à 47,2 M$. Le montant n’a donc que légèrement augmenté par rapport aux quelque 46,5 M$ évoqués dans le précédent post. Les vraies nouvelles se trouvent dans les deux points qui suivent.
Premièrement, la déclaration de la plateforme selon laquelle elle aurait « rapidement repris le contrôle » ne correspond pas à la chronologie on-chain. Bitquery a découvert que le pirate ne s’était pas contenté de toucher aux portefeuilles chauds : il pouvait aussi signer les adresses de dépôt des clients. Sur Ethereum, 35 853 adresses de dépôt ont été vidées progressivement à partir de 12:10 UTC, et l’opération s’est poursuivie jusqu’à 15:44 UTC. Or, la plateforme a publié sa déclaration de « reprise du contrôle » à 12:56 UTC : elle l’a donc publiée au plus fort des opérations, qui se sont prolongées pendant plus de deux heures. Sur Bitcoin, 53 autres adresses de dépôt ont également été vidées. Le message de Bitquery est sans détour : n’envoyez plus de fonds vers vos anciennes adresses de dépôt, attendez que la plateforme vous en fournisse de nouvelles.
Deuxièmement, les chiffres des gels concordent aussi. Tether a gelé 5,9 M$ (USDT, USDT0, USAT et des jetons adossés à l’or, sur Polygon, Tron, Ethereum et Solana), et Paxos a gelé 1,5 M$ (PAXG et USDP), soit un total de 7,3 M$, environ 15 % du montant total. Mais Circle n’a rien gelé : 4,29 M$ en USDC/EURC restent transférables. Les quelque 76 % restants sont des actifs comme le $BTC et $ETH , que leurs émetteurs ne peuvent tout simplement pas geler. La bonne nouvelle, c’est que la majeure partie des fonds n’a pas bougé : les 106,07 bitcoins du pirate sont toujours au même endroit, et les 19,5 M$ en Ethereum transférés vers 10 nouveaux portefeuilles n’avaient pratiquement pas bougé à 15:46 UTC. Aucun transfert vers une plateforme d’échange n’a été repéré pour l’instant.
Il faut aussi préciser ce qui n’a pas changé : à ce jour, la plateforme n’a confirmé ni le montant total, ni la cause de l’incident, ni de calendrier de rétablissement. Les dépôts et retraits restent suspendus (selon la dernière vérification de Bitquery, effectuée lundi après-midi ; nos recherches n’ont trouvé aucune annonce officielle de reprise). L’affirmation selon laquelle « la plateforme assumera elle-même les pertes » reste une déclaration rapportée par Bloomberg, impossible à vérifier sur la chaîne. Par ailleurs, Bitquery indique que la même adresse avait reçu environ 298 000 $ de plusieurs portefeuilles sans lien apparent, 53 minutes avant l’incident chez Mercado. L’un de ces portefeuilles sur Arbitrum porte l’étiquette BitMart, mais BitMart n’a fait aucun commentaire : cette étiquette appartient à Bitquery et ne constitue pas une preuve que BitMart a été piraté.
À mon avis, le point essentiel à retenir n’est pas le passage de 46,5 à 48,5, mais le décalage entre les mots « repris le contrôle » et la chronologie on-chain. Une déclaration peut être publiée rapidement, mais tant que le contrôle des signatures des adresses de dépôt n’a pas été récupéré, le contrôle n’est pas rétabli. Il reste deux choses à surveiller : quand la plateforme fournira de nouvelles adresses de dépôt et quand elle rétablira les dépôts et les retraits.
Avertissement sur les risques : tout ce qui précède repose sur l’analyse des données on-chain et ne constitue pas une estimation officielle des pertes par la plateforme. Le $BTC s’échange actuellement autour de 76 994, le $ETH autour de 2 252 et le $SOL autour de 91,92 (cours vérifiés auprès de deux sources à 02:41) ; il s’agit de fluctuations ordinaires. N’attribuez pas à tout prix ces variations de cours à cet incident. Pendant que l’affaire fait parler d’elle, les faux comptes du service client et les faux liens de remboursement risquent de proliférer : passez uniquement par les canaux officiels de la plateforme et ne cliquez pas sur des liens de « remboursement » dont la provenance est inconnue.
Qu’en pensez-vous : le désaccord entre la déclaration de la plateforme et la chronologie on-chain relève-t-il d’une question de méthode de calcul, ou le contrôle n’a-t-il tout simplement jamais été rétabli ?
$BTC $ETH $SOL
#MercadoBitcoin #交易所安全 #BTC #ETH
Cet article fait le point sur notre précédent post (01:38) et comble les zones d’ombre : le montant des pertes a-t-il encore augmenté ? Y a-t-il eu une deuxième vague de gels ? L’inventaire détaillé des transactions on-chain de Bitquery vient de paraître. Il répond à ces deux questions, mais les détails sont plus alarmants que les chiffres eux-mêmes.
Commençons par les chiffres. Bitquery a dénombré 48,5 M$ sur 10 chaînes, valorisés au cours de chaque transfert. Ethereum représente à lui seul 29,5 M$ (188 transactions en 24 minutes), suivi de Bitcoin. Il faut préciser la méthode de calcul : les 48,5 M$ incluent un transfert d’un jeton EVA dont la capitalisation est inférieure au volume d’échanges d’une semaine (environ 1,21 M$). En le retirant, le total tombe à 47,2 M$. Le montant n’a donc que légèrement augmenté par rapport aux quelque 46,5 M$ évoqués dans le précédent post. Les vraies nouvelles se trouvent dans les deux points qui suivent.
Premièrement, la déclaration de la plateforme selon laquelle elle aurait « rapidement repris le contrôle » ne correspond pas à la chronologie on-chain. Bitquery a découvert que le pirate ne s’était pas contenté de toucher aux portefeuilles chauds : il pouvait aussi signer les adresses de dépôt des clients. Sur Ethereum, 35 853 adresses de dépôt ont été vidées progressivement à partir de 12:10 UTC, et l’opération s’est poursuivie jusqu’à 15:44 UTC. Or, la plateforme a publié sa déclaration de « reprise du contrôle » à 12:56 UTC : elle l’a donc publiée au plus fort des opérations, qui se sont prolongées pendant plus de deux heures. Sur Bitcoin, 53 autres adresses de dépôt ont également été vidées. Le message de Bitquery est sans détour : n’envoyez plus de fonds vers vos anciennes adresses de dépôt, attendez que la plateforme vous en fournisse de nouvelles.
Deuxièmement, les chiffres des gels concordent aussi. Tether a gelé 5,9 M$ (USDT, USDT0, USAT et des jetons adossés à l’or, sur Polygon, Tron, Ethereum et Solana), et Paxos a gelé 1,5 M$ (PAXG et USDP), soit un total de 7,3 M$, environ 15 % du montant total. Mais Circle n’a rien gelé : 4,29 M$ en USDC/EURC restent transférables. Les quelque 76 % restants sont des actifs comme le $BTC et $ETH , que leurs émetteurs ne peuvent tout simplement pas geler. La bonne nouvelle, c’est que la majeure partie des fonds n’a pas bougé : les 106,07 bitcoins du pirate sont toujours au même endroit, et les 19,5 M$ en Ethereum transférés vers 10 nouveaux portefeuilles n’avaient pratiquement pas bougé à 15:46 UTC. Aucun transfert vers une plateforme d’échange n’a été repéré pour l’instant.
Il faut aussi préciser ce qui n’a pas changé : à ce jour, la plateforme n’a confirmé ni le montant total, ni la cause de l’incident, ni de calendrier de rétablissement. Les dépôts et retraits restent suspendus (selon la dernière vérification de Bitquery, effectuée lundi après-midi ; nos recherches n’ont trouvé aucune annonce officielle de reprise). L’affirmation selon laquelle « la plateforme assumera elle-même les pertes » reste une déclaration rapportée par Bloomberg, impossible à vérifier sur la chaîne. Par ailleurs, Bitquery indique que la même adresse avait reçu environ 298 000 $ de plusieurs portefeuilles sans lien apparent, 53 minutes avant l’incident chez Mercado. L’un de ces portefeuilles sur Arbitrum porte l’étiquette BitMart, mais BitMart n’a fait aucun commentaire : cette étiquette appartient à Bitquery et ne constitue pas une preuve que BitMart a été piraté.
À mon avis, le point essentiel à retenir n’est pas le passage de 46,5 à 48,5, mais le décalage entre les mots « repris le contrôle » et la chronologie on-chain. Une déclaration peut être publiée rapidement, mais tant que le contrôle des signatures des adresses de dépôt n’a pas été récupéré, le contrôle n’est pas rétabli. Il reste deux choses à surveiller : quand la plateforme fournira de nouvelles adresses de dépôt et quand elle rétablira les dépôts et les retraits.
Avertissement sur les risques : tout ce qui précède repose sur l’analyse des données on-chain et ne constitue pas une estimation officielle des pertes par la plateforme. Le $BTC s’échange actuellement autour de 76 994, le $ETH autour de 2 252 et le $SOL autour de 91,92 (cours vérifiés auprès de deux sources à 02:41) ; il s’agit de fluctuations ordinaires. N’attribuez pas à tout prix ces variations de cours à cet incident. Pendant que l’affaire fait parler d’elle, les faux comptes du service client et les faux liens de remboursement risquent de proliférer : passez uniquement par les canaux officiels de la plateforme et ne cliquez pas sur des liens de « remboursement » dont la provenance est inconnue.
Qu’en pensez-vous : le désaccord entre la déclaration de la plateforme et la chronologie on-chain relève-t-il d’une question de méthode de calcul, ou le contrôle n’a-t-il tout simplement jamais été rétabli ?
$BTC $ETH $SOL
#MercadoBitcoin #交易所安全 #BTC #ETH
