据 Decrypt 于2026年11月6日04:16:03（UTC+8）发布的报道，区块链分析机构 Bitquery 发现：巴西交易所 Mercado Bitcoin 宣布安全事件已受控后近四小时，与该交易所关联的客户充值地址仍被攻击者转走资金。这一发现对交易所此前所称的“迅速控制攻击”提出了质疑。
宣布受控后，充值地址仍有资金流出
Mercado Bitcoin 于11月2日巴西时间上午9:56宣布，已迅速控制此次安全事件。Bitquery 周四更新的分析则显示，当天上午9:27至下午1:56，共有36,042个以太坊客户充值地址被清空。
这些地址持有的资产约为26.6万美元，仅占此次被盗总额的一小部分。但关键在于，交易所宣布事件受控后，攻击者仍能够从这些地址转出资金。
截至原报道发布时，Mercado Bitcoin 的公开更新尚未解释，其“已控制事件”的声明与随后发生的转账之间为何存在时间差。
风险涉及充值地址的私钥或签名系统
客户充值地址类似于个人加密货币收款账户。交易所随后会将其中的资产归集到共享的在线钱包，即热钱包，用于处理日常交易。从充值地址转出资金，需要使用授权交易的私钥。
Bitquery 表示，这些提款交易由充值地址直接授权，表明攻击者可能取得了对应私钥，或进入了能够代表这些地址签署交易的系统。研究人员解释：“这需要每个地址的密钥，或者能够进入为这些地址签名的系统。”
研究人员还警告，交易所通常通过单一主密钥生成充值地址的密钥，因此攻击者可能仍能访问其他客户地址。这是 Bitquery 提出的潜在风险，并不意味着其他地址已被证实遭到入侵。
损失金额仍有分歧
原报道列出的损失口径并不一致：
- 初步估计：被盗金额超过4,000万美元。
- Mercado Bitcoin 更新后的常见问题说明：受影响资产约为3,630万美元。
- Bitquery 估计：涉及11条区块链，被盗资产总额为4,860万美元。
这些数字分别来自初步估计、交易所披露与第三方链上分析，不能视为已经达成一致的最终损失金额。Mercado Bitcoin 向客户保证，将使用自有资金弥补用户损失。
恢复计划与旧地址风险提示
按原报道所述，Mercado Bitcoin 计划从11月9日起先恢复余额查看功能；当时尚未公布充值、提现和交易的恢复日期。
Bitquery 提醒客户，在交易所确认旧充值地址安全之前，不要重复使用这些地址。
原文来源：Decrypt：Mercado Bitcoin Said Its Hack Was Contained, But Blockchain Data Tells a Different Story。以上为该报道发布时的信息。