ブラジル大手の仮想通貨取引所にハッキング、入出金停止──約60億円分

ブラジルの暗号資産（仮想通貨）取引所Mercado Bitcoin（メルカド・ビットコイン）は2日、同社のシステムの一つでセキュリティ上の事故が起き、入出金を一時停止したと公式Xで公表した。日本時間3日8時17分の続報では、事故に関係する資産は約3,800万ドル（約60億円）で、1,100万ドル（約17.4億円）をすでに凍結したと明らかにした。同社は、顧客が資産を失うことはないとしている。

メルカド・ビットコイン、入出金を停止し1,100万ドルを凍結

最初の声明は日本時間2日21時56分に出た。同社は、現地時間2日未明に事故を見つけて速やかに封じ込めたと説明し、顧客への損害とデータの流出はなかったとした。予防措置として入出金を止め、資産の追跡と当局との調整を進めているという。

日本時間2日23時24分の続報では、送金の送り先のアドレスを、イーサリアムETH互換チェーンやビットコインBTC、ソラナSOLなど5種類公開した。

日本時間3日8時17分の続報で、同社は関係する資産の額を示した。テザー、サークル、Paxos（パクソス）、ブラジル・レアル建てのステーブルコインBRL1brl1、チェイナリシスなどと連携して1,100万ドルを凍結し、ほかに凍結できる資産も特定したという。サービスへのアクセスも一時停止中だ。

同社は、サービスの再開は安全が十分に確保されてからで、時期は公式のチャネルだけで知らせるとしている。原因や、どのシステムが被害を受けたかは明らかにしていない。

メルカド・ビットコインの流出、10チェーンで4,850万ドル

ブロックチェーンのデータを提供するBitqueryは、取引所のものと判断したウォレットから攻撃者への送金を追い、10チェーンで計4,850万ドル（約76.6億円）が流出したと集計した。送金時点の価格で計算した額だ。

メルカド・ビットコインの約3,800万ドルは3日8時17分時点の額で、Bitqueryの集計との差について同社は説明していない。

Bitqueryによると、日本時間2日15時24分〜50分、各チェーンのホットウォレット（ネットにつないだ出金用のウォレット）から攻撃者へ送金が続いた。イーサリアムのホットウォレットからは2,950万ドル（約46.6億円）が出た。

ビットコインの流出は830万ドル（約13.1億円）で、攻撃者のアドレスには106.07 BTCが届いた。

攻撃者は、利用者ごとに割り当てられた入金用アドレスからも資金を移した。Bitqueryによると、イーサリアムでは3万5,853件の入金用アドレスが空になり、額は計26万1,000ドル（約4,121万円）だった。取引所が封じ込めたと発表した後も2時間以上続いたという。

凍結は、ステーブルコインなどの発行体が、攻撃者のアドレスにある自社のトークンを止める形で進んだ。Bitqueryの確認時点では、テザーとパクソスの凍結は計730万ドル（約11.5億円）で、流出額の約15％だった。

残りの多くはビットコインやイーサリアムなど、発行体が凍結できない銘柄だという。Bitqueryの確認は、取引所が1,100万ドルの凍結を発表するより前の時点で、その時点ではサークルによる凍結は確認されていなかった。

顧客480万人のメルカド・ビットコイン、日本では登録なし

メルカド・ビットコインは10月28日、ブラジル中央銀行に仮想資産の仲介業者としての認可を申請したと公表していた。同社によると、顧客は480万人で、13年以上の歴史がある。

10月30日（日本時間）には、バイナンスをめぐる状況を注視しているとしたうえで、自社のプラットフォームは通常どおり稼働し、顧客の資産は安全だとXに投稿していた。

金融庁の暗号資産交換業者登録一覧（9月30日現在）をJinaCoinが集計した国内の暗号資産交換業者一覧に、メルカド・ビットコインは載っていない。金融庁が警告した無登録業者の一覧にも掲載はない（執筆時点）。

関連：バイナンス流出は北朝鮮とFBI──公表先にビットコイン2,246億円分
関連：ビットコイン決済ソフトでハッキング被害の報告、旧版の脆弱性に痕跡

※価格は執筆時点でのレート換算（1ドル＝157.91円）