ブラジル大手の仮想通貨取引所メルカド・ビットコイン（Mercado Bitcoin）は2日にハッキングを「封じ込めた」と発表したが、その後も約4時間にわたり、顧客の入金用アドレスから資産が流出し続けていた。ブロックチェーン分析企業のビットクエリーが、ブロックチェーン上のデータをもとに明らかにした。
流出の時間帯を日本時間でみると、ビットクエリーの分析では、攻撃者はイーサリアム上の顧客の入金用アドレス36,042件を、2日21時27分から3日1時56分にかけて空にした。メルカド・ビットコインが「封じ込めた」と発表したのは2日21時56分で、入金用アドレスからの流出は発表の約29分前に始まり、発表後も約4時間続いたという。
ここでの入金用アドレスは、取引所が顧客ごとに割り振る受け取り口座にあたり、36,042件が保有していた資産は約26万6,000ドルだった。ビットクエリーは、これらの送金が各アドレスから直接承認されていたとして、攻撃者が取引の承認に必要な秘密鍵、または代わりに署名できるシステムにアクセスしていた可能性があると分析した。
被害額については、ビットクエリーが盗まれた資産を4,860万ドル（76億円）と推計し、メルカド・ビットコインが4日に公式Xで発表した3,630万ドルを上回った。
メルカド・ビットコインは顧客が被害を負担することはないと説明しており、9日にサイトを閲覧専用で再開する予定だが、入出金の再開日は示していない。
また、メルカド・ビットコインへの攻撃前から、同じ攻撃者が管理するアドレスに、ベース、アービトラム、オプティミズム上のウォレットから資金が送られており、ビットクエリーは約39万1,000ドルの損失の大半を取引所ビットマートのものとみている。
ビットマート（BitMart）は同額を確認していないが、創業者のシェルドン・シア氏は、2日にハッキングを受けたと明らかにし、予備調査ではメルカド・ビットコインを攻撃したグループが関与しているとみられると述べた。
