Mercadoを徹底調査：$48.5Mでも全貌ではない。取引所が「制御済み」と発表した後も、ハッカーはさらに2時間以上資金を抜き続けた
今回は続報です。前回の投稿（01:38）で残した疑問に答えます。被害総額はさらに増えたのか、凍結は第2弾があったのか——Bitqueryによるオンチェーン取引の詳細な集計が公開され、どちらも明らかになりました。ただし、数字以上に胸に刺さる詳細も判明しています。
まずは数字から。Bitqueryの集計では、被害額は$48.5M、対象は10のチェーンで、各送金時の価格で評価されています。そのうちイーサリアムだけで$29.5M（188件、24分間）を占め、次いでビットコインです。集計の前提を明確にしておきましょう。この$48.5Mには、時価総額が週間取引高を下回るEVAトークン1件（約$121万）が含まれています。これを除くと$47.2Mです。つまり、前回投稿の約$4,650万から総額はわずかに増えた程度。本当に新しい情報は総額ではなく、以下の2点です。
1つ目。取引所の「迅速に制御した」という説明は、オンチェーンのタイムラインと食い違っています。Bitqueryによると、ハッカーはホットウォレットを動かしただけでなく、顧客の入金アドレスの署名も行えました。イーサリアムでは、35,853件の入金アドレスから12:10 UTC以降、順次資金が抜き取られ、15:44 UTCまで続きました。取引所が「制御済み」と発表したのは12:56 UTCです。つまり、声明は資金の抜き取りが最も活発な最中に出され、その後もさらに2時間以上続いたことになります。ビットコインでも別に53件の入金アドレスから資金が抜き取られました。Bitqueryの呼びかけは明快です。古い入金アドレスには送金せず、取引所が新しいアドレスを案内するまで待ってください。
2つ目。凍結額の内訳も確認できました。Tetherは$5.9M（USDT、USDT0、USAT、金連動トークン。Polygon、Tron、イーサリアム、Solanaにまたがる）を凍結し、Paxosは$1.5M（PAXGとUSDP）を凍結。合計は$7.3Mで、総額の約15%です。一方、Circleは1ドルも凍結しておらず、$429万相当のUSDC/EURCは移動可能なままです。残る約76%は、$BTC や$ETH のように発行元が凍結できない暗号資産です。明るい材料は、資金の大部分がまだ動いていないことです。ハッカーのビットコイン106.07枚はその場にとどまり、イーサリアム上で10個の新しいウォレットに移された$19.5Mも、15:46 UTC時点でほぼ動きがなく、現時点では取引所への入金も確認されていません。
変わっていない点も明確にしておきます。取引所は今も被害総額を確認しておらず、根本原因も復旧予定も公表していません。入出金も停止したままです（Bitqueryの最終確認は月曜午後時点。本稿の調査では、公式の再開発表は確認できませんでした）。「取引所が損失を自ら負担する」という話は、依然としてBloombergが伝えた発言であり、オンチェーンでは検証できません。またBitqueryによると、同じアドレスはMercadoの53分前にも、関連のない複数のウォレットから約$29.8万を受け取っていました。そのうち1つのArbitrumウォレットにはBitMartのラベルが付いていますが、BitMartは何も発表しておらず、このラベルはBitquery独自のものです。BitMartがハッキングされた証拠として扱うことはできません。
私の見方：今回最も注目すべきなのは、被害額が46.5から48.5に増えたことではなく、「制御済み」という言葉とオンチェーンのタイムラインとのずれです。声明はすぐに出せても、入金アドレスの署名権を取り戻すまでは、制御できたとは言えません。今後の注目点は2つです。取引所がいつ新しい入金アドレスを案内するのか、そしていつ入出金を再開するのか。
リスクに関する注意：以上はオンチェーン追跡に基づく情報であり、取引所による公式な被害額の確定ではありません。$BTC は現在約76994、$ETH は約2252、$SOL は約91.92（02:41、独立した2つの情報源で実測）で、いずれも通常の価格変動の範囲です。この1件に無理に価格変動を結び付けないでください。事件が広がっている間は、偽のカスタマーサポートや偽の返金リンクが特に出回りやすくなります。取引所の公式チャネルだけを利用し、出所不明の「返金」リンクはクリックしないでください。
皆さんはどう見ますか。取引所の声明とオンチェーンのタイムラインの食い違いは、説明の仕方の問題でしょうか。それとも、そもそも制御が不十分だったのでしょうか？
$BTC $ETH $SOL
#MercadoBitcoin #交易所安全 #BTC #ETH
今回は続報です。前回の投稿（01:38）で残した疑問に答えます。被害総額はさらに増えたのか、凍結は第2弾があったのか——Bitqueryによるオンチェーン取引の詳細な集計が公開され、どちらも明らかになりました。ただし、数字以上に胸に刺さる詳細も判明しています。
まずは数字から。Bitqueryの集計では、被害額は$48.5M、対象は10のチェーンで、各送金時の価格で評価されています。そのうちイーサリアムだけで$29.5M（188件、24分間）を占め、次いでビットコインです。集計の前提を明確にしておきましょう。この$48.5Mには、時価総額が週間取引高を下回るEVAトークン1件（約$121万）が含まれています。これを除くと$47.2Mです。つまり、前回投稿の約$4,650万から総額はわずかに増えた程度。本当に新しい情報は総額ではなく、以下の2点です。
1つ目。取引所の「迅速に制御した」という説明は、オンチェーンのタイムラインと食い違っています。Bitqueryによると、ハッカーはホットウォレットを動かしただけでなく、顧客の入金アドレスの署名も行えました。イーサリアムでは、35,853件の入金アドレスから12:10 UTC以降、順次資金が抜き取られ、15:44 UTCまで続きました。取引所が「制御済み」と発表したのは12:56 UTCです。つまり、声明は資金の抜き取りが最も活発な最中に出され、その後もさらに2時間以上続いたことになります。ビットコインでも別に53件の入金アドレスから資金が抜き取られました。Bitqueryの呼びかけは明快です。古い入金アドレスには送金せず、取引所が新しいアドレスを案内するまで待ってください。
2つ目。凍結額の内訳も確認できました。Tetherは$5.9M（USDT、USDT0、USAT、金連動トークン。Polygon、Tron、イーサリアム、Solanaにまたがる）を凍結し、Paxosは$1.5M（PAXGとUSDP）を凍結。合計は$7.3Mで、総額の約15%です。一方、Circleは1ドルも凍結しておらず、$429万相当のUSDC/EURCは移動可能なままです。残る約76%は、$BTC や$ETH のように発行元が凍結できない暗号資産です。明るい材料は、資金の大部分がまだ動いていないことです。ハッカーのビットコイン106.07枚はその場にとどまり、イーサリアム上で10個の新しいウォレットに移された$19.5Mも、15:46 UTC時点でほぼ動きがなく、現時点では取引所への入金も確認されていません。
変わっていない点も明確にしておきます。取引所は今も被害総額を確認しておらず、根本原因も復旧予定も公表していません。入出金も停止したままです（Bitqueryの最終確認は月曜午後時点。本稿の調査では、公式の再開発表は確認できませんでした）。「取引所が損失を自ら負担する」という話は、依然としてBloombergが伝えた発言であり、オンチェーンでは検証できません。またBitqueryによると、同じアドレスはMercadoの53分前にも、関連のない複数のウォレットから約$29.8万を受け取っていました。そのうち1つのArbitrumウォレットにはBitMartのラベルが付いていますが、BitMartは何も発表しておらず、このラベルはBitquery独自のものです。BitMartがハッキングされた証拠として扱うことはできません。
私の見方：今回最も注目すべきなのは、被害額が46.5から48.5に増えたことではなく、「制御済み」という言葉とオンチェーンのタイムラインとのずれです。声明はすぐに出せても、入金アドレスの署名権を取り戻すまでは、制御できたとは言えません。今後の注目点は2つです。取引所がいつ新しい入金アドレスを案内するのか、そしていつ入出金を再開するのか。
リスクに関する注意：以上はオンチェーン追跡に基づく情報であり、取引所による公式な被害額の確定ではありません。$BTC は現在約76994、$ETH は約2252、$SOL は約91.92（02:41、独立した2つの情報源で実測）で、いずれも通常の価格変動の範囲です。この1件に無理に価格変動を結び付けないでください。事件が広がっている間は、偽のカスタマーサポートや偽の返金リンクが特に出回りやすくなります。取引所の公式チャネルだけを利用し、出所不明の「返金」リンクはクリックしないでください。
皆さんはどう見ますか。取引所の声明とオンチェーンのタイムラインの食い違いは、説明の仕方の問題でしょうか。それとも、そもそも制御が不十分だったのでしょうか？
$BTC $ETH $SOL
#MercadoBitcoin #交易所安全 #BTC #ETH
