巴西加密货币交易所Mercado Bitcoin于2026年11月2日宣布已迅速控制安全事件，但区块链分析机构Bitquery的研究显示，与该交易所关联的客户充值地址，在公告发布近四小时后仍有资金被攻击者转走。
据Decrypt于2026年11月6日刊发的报道，Bitquery在周四更新的分析中，追踪到涉及11条区块链、总额约4,860万美元的被盗资产。这与交易所公布的受影响金额存在差异，也对其“已控制攻击”的说法提出了疑问。
公告发布后，充值地址仍出现资金转出
Mercado Bitcoin在11月2日巴西时间上午9时56分宣布，已迅速控制此次事件。Bitquery则称，当天上午9时27分至下午1时56分，共有36,042个以太坊客户充值地址被清空。
这些地址合计持有约26.6万美元，只占总失窃金额的一小部分。但关键在于：交易所宣布事件受控后，攻击者仍能从这些地址转走资金，最晚一笔发生在公告发布近四小时后。
截至原文报道时，Mercado Bitcoin的公开更新尚未解释，其控制攻击的声明与后续链上转账之间为何存在这一时间差。
签名权限可能是风险关键，具体失陷范围尚不明确
客户充值地址类似于接收加密资产的专属账户。交易所通常会将这些地址中的资产归集到共享的在线钱包，即热钱包，用于处理日常交易。从充值地址转出资产，需要私钥授权。
Bitquery表示，这批转账直接由充值地址授权，意味着攻击者可能掌握了相应私钥，或进入了能够代表这些地址签署交易的系统。研究人员解释：“这需要每个地址的密钥，或者进入为这些地址签名的系统。”
研究人员还提醒，交易所通常通过一个主密钥生成充值地址的密钥，因此攻击者可能仍有能力访问其他客户地址。这是Bitquery提出的潜在风险，并不等于已经确认其他地址受到侵害。
损失金额仍有分歧，交易恢复时间未定
原文列出的损失估算并不一致：
- 初步估算：超过4,000万美元。
- Mercado Bitcoin更新后的常见问题说明：受影响资产约3,630万美元。
- Bitquery估算：11条区块链上的被盗资产合计约4,860万美元。
Mercado Bitcoin向客户承诺，将使用自有资金承担用户损失。Bitquery则警告，在交易所确认安全之前，客户不应重复使用旧充值地址。
截至原文报道时，交易所计划于11月9日开始恢复服务，但首阶段仅支持查看余额；充值、提现和交易尚无恢复日期。
原文出处：Decrypt
原文发布时间：2026年11月6日04:16:03（UTC+8）。本文保留原报道时点的信息，不代表后续进展。
