Mercado Bitcoin mở lại tài khoản ở chế độ chỉ xem, một tuần sau vụ tấn công ước tính 49 triệu USD; rút tiền qua Pix chưa có ngày

Những gì đã mở lại và những gì chưa

Giai đoạn đầu rất hẹp. Theo PANews, dẫn bài đăng của sàn trên X, người dùng có thể đăng nhập lại qua website, xem tổng số dư và chi tiết từng tài sản, nhưng không thể giao dịch hay thực hiện thao tác khác. ChainCatcher đưa tin về cùng giới hạn này và cho biết giao dịch, rút tiền sẽ mở lại theo từng giai đoạn sau khi kiểm tra an ninh hoàn tất.

Theo Cointelegraph, ông Fabricio Tota, phó chủ tịch phụ trách mảng kinh doanh mới của Mercado Bitcoin, nói trong video đăng trên tài khoản X của sàn rằng công ty chọn "cách tiếp cận thận trọng hơn" khi mở lại tài khoản "để bảo đảm việc trở lại diễn ra an toàn nhất". Ông hy vọng quyền xem số dư sẽ giúp khách hàng yên tâm rằng tài sản của họ vẫn được ghi nhận trên nền tảng.

Ai chịu khoản thiệt hại

Mercado Bitcoin nói khách hàng sẽ không chịu thiệt. Theo Cointelegraph, ngày 4/11 sàn cam kết dùng tiền công ty bù toàn bộ thiệt hại, cam kết này được hỗ trợ bởi khoản đầu tư 20 triệu USD mà Tether rót vào hồi tháng 7. PANews dẫn bài đăng của sàn cho biết số dư sẽ được khôi phục bằng tiền của công ty và cập nhật theo tiến độ mở lại.

"Phần lớn tài sản, thực tế là gần như toàn bộ, chưa từng bị ai động đến; chúng thậm chí không liên quan đến sự cố," ông Tota nói trong video, theo Cointelegraph. Ông cũng cho biết một phần tiền bị đánh cắp đã bị đóng băng trong vài giờ sau khi công ty thông báo bị tấn công.

Con số thiệt hại khác nhau tùy nơi tính. Cointelegraph dùng ước tính khoảng 49 triệu USD. Odaily cho biết truyền thông và các đơn vị phân tích on-chain ước tính từ 38 đến 46 triệu USD. Trong các nguồn chúng tôi đã mở, Mercado Bitcoin chưa công bố con số của riêng mình.

Về quy mô, Mercado Bitcoin nói với tạp chí Veja của Brazil hồi cuối tháng 10 rằng sàn có hơn 4,8 triệu khách hàng và tổng giá trị giao dịch tích lũy trên 215 tỷ real (khoảng 39 tỷ USD), theo Cointelegraph.

Một tuần qua diễn ra thế nào

Đặt việc mở lại vào bối cảnh tuần qua sẽ dễ hiểu hơn. Các bài trước của Cointelegraph cho thấy trình tự.

Theo bài ngày 2/11 của Cointelegraph, ông Dickson Wu, kỹ sư an ninh cấp cao tại CertiK, công bố phân tích ban đầu cho biết kẻ tấn công "thăm dò tám chuỗi nhỏ trong bốn giờ", gồm Base, Optimism và Arbitrum, trước khi chuyển sang các ví nóng chính của sàn. Ông mô tả các giao dịch ETH rất nhỏ từ 27.160 địa chỉ khác nhau.

Trong tuyên bố ngày 4/11, Mercado Bitcoin cho biết khách hàng sẽ được xem số dư, sao kê, danh mục và khoản đầu tư trước; chuyển khoản, rút tiền và giao dịch sẽ mở ở các giai đoạn sau, "tùy thuộc vào kiểm thử an ninh độc lập", theo bài ngày 4/11 của Cointelegraph. Sàn cũng nói bộ phận giao dịch đang chuẩn bị mua lại tài sản cần thiết trên thị trường trong nước và quốc tế, nhưng không nêu tài sản nào hay khối lượng bao nhiêu.

Kẻ tấn công vào bằng cách nào vẫn chưa rõ

Theo Cointelegraph, Mercado Bitcoin chưa giải thích kẻ tấn công lấy được quyền truy cập ví bằng cách nào. Các chuyên gia an ninh blockchain cho rằng tiền bị rút bằng các lệnh chuyển thông thường, không phải khai thác lỗ hổng hợp đồng thông minh, và một phần tiền bị đánh cắp được lần ra từ các địa chỉ nạp tiền của khách hàng.

Công ty dữ liệu blockchain Bitquery phát hiện, tính đến ngày 4/11, các ví mà họ liên kết với kẻ tấn công đang giữ phần lớn số tiền bị đánh cắp chưa bị đóng băng, trong đó có 106,07 BTC. Theo giá BTC-USDT trên OKX lúc 04:52 SGT ngày 10/11 là 74.871,70 USD, riêng lượng BTC này trị giá khoảng 7,94 triệu USD (106,07 × 74.871,70). Đây là phép tính của chúng tôi dựa trên số dư ngày 4/11, không phải số dư ví hiện tại.

Điều này có ý nghĩa gì với bạn

Nếu bạn có tài sản trên Mercado Bitcoin:

• Mở website bằng cách tự gõ địa chỉ chính thức vào trình duyệt. Theo PANews, sàn khuyên người dùng không đăng nhập qua đường link trong tin nhắn khác.
• Kiểm tra số dư so với hồ sơ của chính bạn tại ngày 2/11: biên nhận nạp tiền, xác nhận khớp lệnh, sao kê Pix, ảnh chụp màn hình. Ghi lại ngay nếu có chênh lệch.
• Không gửi thêm tiền mã hóa vào địa chỉ nạp Mercado Bitcoin bạn đã lưu trước vụ tấn công. Chờ sàn xác nhận mở lại nạp tiền và hiển thị địa chỉ trong ứng dụng sau khi đăng nhập.
• Xác nhận tài khoản ngân hàng dự định nhận tiền rút qua Pix là tài khoản đứng tên bạn.
• Bỏ qua mọi tin nhắn hứa rút tiền sớm, "bồi thường" hay giúp thu hồi tài sản. Sàn chưa công bố ngày nào, nên tin nhắn nào đưa ra ngày cụ thể đều nên coi là lừa đảo.

Nếu bạn dùng sàn khác, đây là lúc xem lại danh sách địa chỉ rút tiền được phép, cài đặt xác thực hai lớp và các địa chỉ nạp tiền bạn đã lưu trong ứng dụng khác.

Cần theo dõi gì tiếp theo

Ba mốc sẽ thay đổi tình hình: ngày xác nhận thông tin đăng ký, ngày mở rút tiền qua Pix, và lời giải thích về cách kẻ tấn công tiếp cận ví. Nếu sàn công bố con số thiệt hại của mình, khoảng cách giữa các ước tính 38–49 triệu USD cũng sẽ được làm rõ. Trước đó, khách hàng xem được số dư nhưng chưa chuyển đi được.

Một sàn khác là BitMart cho biết cũng bị tấn công một ngày sau Mercado Bitcoin; sự cố đó có diễn biến riêng.

Câu hỏi thường gặp

Hiện có rút tiền khỏi Mercado Bitcoin được không?

Chưa. Tính đến ngày 10/11, tài khoản chỉ ở chế độ xem. Sàn cho biết sẽ mở rút qua Pix về tài khoản chính chủ sau bước xác nhận thông tin đăng ký, nhưng chưa có ngày.

Khách hàng Mercado Bitcoin có mất tiền không?

Sàn nói không: theo Cointelegraph, ngày 4/11 sàn cam kết dùng tiền công ty bù toàn bộ thiệt hại và cho biết gần như toàn bộ tài sản khách hàng không bị ảnh hưởng.

Bị đánh cắp bao nhiêu?

Theo Odaily, truyền thông và đơn vị phân tích on-chain ước tính 38–46 triệu USD; Cointelegraph ước tính khoảng 49 triệu USD.