Los atacantes que sustrajeron decenas de millones de dólares en criptomonedas de Mercado Bitcoin continuaron operando durante cuatro horas después de que la plataforma brasileña anunciara que había controlado el incidente. El análisis de las transacciones realizado por Bitquery sitúa el final del robo a las 17:56, hora peninsular española, frente a las 13:56 en las que el operador comunicó que la amenaza estaba contenida.
La diferencia entre ambos momentos pone en cuestión la rapidez con la que Mercado Bitcoin logró recuperar el control de los sistemas afectados. La investigación también apunta a una posible relación con un ataque sufrido el mismo día por BitMart, aunque todavía no existe una confirmación definitiva de que ambos incidentes tengan el mismo origen.
El vaciado continuó tras el anuncio de Mercado Bitcoin
Según la reconstrucción de Bitquery, los atacantes empezaron a vaciar direcciones de la red Ethereum (ETH) a las 13:27 del 2 de noviembre. Mercado Bitcoin informó 29 minutos después, a las 13:56, de que había contenido el ataque. Sin embargo, los registros públicos de las cadenas de bloques muestran movimientos de fondos vinculados al robo hasta las 17:56.
En total, fueron afectadas 36.042 direcciones utilizadas por los clientes para depositar criptomonedas en sus cuentas de la plataforma. Bitquery considera que el patrón de las transacciones es compatible con un acceso a los sistemas empleados por Mercado Bitcoin para gestionar esos depósitos. Ese acceso habría permitido a los atacantes seguir retirando fondos durante un periodo prolongado, incluso después de las primeras medidas adoptadas por la empresa.
La firma de análisis ha elevado además su estimación del importe sustraído. Hasta ahora identifica 48,6 millones de dólares en criptomonedas robadas, distribuidos entre diez redes de cadenas de bloques. La primera valoración del ataque situaba las pérdidas en torno a 40 millones de dólares.
Una posible conexión con el ataque a BitMart
La investigación ha encontrado también indicios que podrían vincular el ataque a Mercado Bitcoin con otro incidente registrado en BitMart. Una dirección atribuida a los atacantes recibió fondos procedentes de varias direcciones de las redes Base, Arbitrum y Optimism antes del ataque contra la plataforma brasileña.
Bitquery sospecha que esas direcciones podrían pertenecer a BitMart. Las transacciones asociadas representarían unos 391.000 dólares sustraídos, aunque la plataforma todavía no ha confirmado esa cantidad. Sheldon Xia, fundador de BitMart, sí confirmó que el operador sufrió un ciberataque el 2 de noviembre y afirmó que la investigación preliminar apunta al mismo grupo como responsable de ambos episodios.
Una de las hipótesis que se manejan es que los atacantes hayan conseguido acceder a una infraestructura tecnológica compartida por varias plataformas de criptomonedas. De ser así, podrían dirigirse contra distintos operadores sin tener que explotar una vulnerabilidad diferente en cada caso. Bitquery no ha presentado, por ahora, pruebas que permitan confirmar esa explicación, y tampoco está claro cómo se produjo el acceso ni si ambos ataques estuvieron realmente coordinados.
Depósitos y retiradas siguen suspendidos
Mientras continúa el análisis del incidente, Mercado Bitcoin mantiene suspendidos los depósitos y las retiradas. La compañía se ha comprometido a reembolsar las pérdidas de los usuarios afectados y ha recibido apoyo de Tether, Circle y Chainalysis. La colaboración ha permitido congelar más de 15 millones de dólares en criptomonedas robadas, según la información disponible.
La plataforma prevé restablecer el acceso a su web el 9 de noviembre. En esa primera fase, los clientes solo podrán consultar sus datos y saldos. Aún no se ha precisado cuándo volverán a estar disponibles las operaciones de depósito y retirada. Mercado Bitcoin tampoco había respondido a las nuevas conclusiones publicadas por Bitquery.
