据 Decrypt 于2026年11月6日04:16:03（UTC+8）发布的报道，区块链数据研究机构 Bitquery 发现，巴西加密货币交易所 Mercado Bitcoin 宣布安全事件已受控后，攻击者仍从与该交易所关联的客户充值地址转走资金，相关活动持续至公告发布近四小时后。
以下时间线与恢复安排均为原报道发布时的信息。
“已受控”公告与链上转账存在时间差
Mercado Bitcoin 于11月2日巴西时间上午9:56宣布，已迅速控制此次安全事件。但根据 Bitquery 于周四更新的分析，当天上午9:27至下午1:56之间，共有36,042个以太坊客户充值地址被清空。
这些地址合计持有约26.6万美元，仅占此次被盗资产的一小部分。不过，资金在公告发布后仍可被转走，使交易所关于迅速遏制攻击的说法受到质疑。原报道指出，Mercado Bitcoin 的公开更新尚未解释这一时间差。
充值地址的签名权限成为关注点
客户充值地址类似于个人接收加密货币的账户。交易所通常会将其中的资产归集至共享热钱包，用于处理日常交易；从充值地址转出资产，则需要相应私钥授权。
Bitquery 表示，这批转账由充值地址直接授权，说明攻击者可能掌握了相关私钥，或进入了能够代这些地址签署交易的系统。研究人员解释，这需要“每个地址的密钥，或者进入为这些地址签名的系统的途径”。
研究人员还警告，交易所通常从一个主密钥派生充值地址私钥，因此攻击者可能仍有能力访问其他客户地址。这是研究方提出的风险判断，并非已确认其他地址遭到进一步盗取。
损失金额仍有分歧
原报道列出的损失估算并不一致：
- 初步估计：超过4,000万美元。
- Mercado Bitcoin 更新后的常见问题说明：受影响资产约为3,630万美元。
- Bitquery 的链上追踪估算：11条区块链上合计约4,860万美元资产被盗。
Mercado Bitcoin 向客户保证，将使用自有资金弥补用户损失。Bitquery 则提醒客户，在交易所确认安全之前，不要重复使用旧充值地址。
恢复计划尚未涵盖交易与出入金
按报道当时公布的计划，Mercado Bitcoin 将于11月9日首先恢复余额查看功能；充值、提现和交易尚无恢复日期。