En aproximadamente 25 minutos, en la madrugada del 1 al 2 de noviembre, las billeteras operativas de Mercado Bitcoin transfirieron fondos a una dirección desconocida en diez redes distintas. El ataque a Mercado Bitcoin, el principal exchange de criptoactivos de Brasil, fue confirmado por la plataforma esa misma mañana: los depósitos y retiros quedaron suspendidos, la empresa sostiene que los clientes y sus datos no sufrieron daños, y no ha revelado el monto sustraído. Las estimaciones externas van desde más de 40 millones de dólares, según la primera indicación de Hypernative, hasta 48,5 millones de acuerdo con Bitquery. Son valoraciones de terceros, no confirmadas por el exchange.
Gaurav Agarwal
Hemos revisado la investigación on-chain de Bitquery, el análisis de Arkham y los artículos de The Record, Cointelegraph y Bitcoin Magazine. Para las comunicaciones de MB usamos el texto recogido por InfoMoney, CNN Brasil y Exame; para las normas del Banco Central do Brasil, la reconstrucción de Capital Aberto. Los posts de MB en X y el artículo de Bloomberg no se abrieron con nuestras herramientas: los citamos a través de los medios que los reproducen. Reconstruimos los hechos por fases, con horarios en UTC.
Fase 1: la preparación y el vaciado
Según Arkham, el atacante realizó una primera transacción de prueba en Base a las 01:22 UTC. Dickson Wu de CertiK, citado por Cointelegraph, señala que durante aproximadamente cuatro horas sondeó ocho redes menores, entre ellas Base, Optimism y Arbitrum. Bitquery sitúa en estas redes un retiro separado de unos 298.000 dólares, iniciado 53 minutos antes de la primera salida desde Mercado Bitcoin.
Arkham
La fase principal, según Bitquery, transcurrió entre las 06:24 y las 06:50 UTC, es decir, entre las 3:24 y las 3:50 hora de Brasilia. En esos 25 minutos, las billeteras calientes del exchange transfirieron fondos al atacante en diez blockchains. En Ethereum salieron 2.852 ETH junto con USDT, USDC y cerca de 185 tokens adicionales, por un total de 29,7 millones de dólares; en Bitcoin, 106,07 BTC, de los cuales 104,43 en una sola transacción, equivalentes a 8,3 millones. El resto se distribuye entre Solana, Stellar, Arbitrum, Tron, Polygon, Avalanche, XDC y BNB Chain. Las operaciones, según las empresas de seguridad citadas por Cointelegraph, son transferencias normales firmadas, no la explotación de un contrato inteligente.
Fase 2: los congelamientos de los emisores
La primera respuesta no llegó del exchange sino de los emisores de stablecoins. Según la cronología de Bitquery, Tether bloqueó USDT0 en Polygon a las 10:21 UTC, luego USDT en Tron y Ethereum a las 11:37, en Solana a las 14:55 y la stablecoin USAT a las 15:42. Paolo Ardoino, director ejecutivo de Tether, habló de más de 4,5 millones de USDT congelados, cifra recogida por The Record y CNN Brasil. Paxos bloqueó PAXG y USDP a las 14:28.
Las cifras globales dependen del momento de referencia. Bitquery contabiliza cerca de 7,3 millones congelados, el 15% del total: 5,9 millones por parte de Tether y 1,5 por parte de Paxos. Circle, en la última verificación, no aparecía habiendo bloqueado nada, y unos 4,3 millones en USDC y EURC podían seguir moviéndose. Cointelegraph, a las 16:42 UTC, informó de 6,2 millones congelados entre Tether y Circle. La capacidad de bloquear fondos es una de las diferencias prácticas entre emisores, como explica nuestra comparativa entre USDT y USDC. Tether, según Cointelegraph y Bitcoin Magazine, había invertido 20 millones de dólares en Mercado Bitcoin en julio.
Fase 3: la comunicación y las direcciones de depósito
Básicamente, el primer post de MB en X se publicó a las 12:56 UTC, las 9:56 en Brasilia. Según el texto recogido por InfoMoney, el exchange dijo haber “identificado y contenido rápidamente” un incidente en uno de sus sistemas, que no hubo daños a clientes ni filtraciones de datos, y que los depósitos y retiros estaban suspendidos de forma preventiva. A las 14:24 UTC, un segundo post publicó las direcciones de destino en Bitcoin, redes compatibles con Ethereum, Solana, Stellar y Tron para permitir su rastreo. CNN Brasil informa que los equipos del exchange coordinan las medidas “con las autoridades competentes”, sin identificarlas.
El punto más delicado tiene que ver con las direcciones de depósito, las asignadas a cada cliente. Según Bitquery, desde las 12:10 UTC el atacante comenzó a vaciarlas y a las 15:44 seguía haciéndolo: 35.853 direcciones en Ethereum, por unos 261.000 dólares, y 53 en Bitcoin. Bitquery deduce de esto que el atacante puede firmar en nombre de cualquier dirección de depósito, ya que suelen derivar de una sola clave maestra. Es una inferencia, no un dato on-chain. Los expertos citados por The Record cuestionan, sobre esta base, la afirmación sobre la ausencia de daños a los clientes.
Fase 4: adónde van los fondos
Arkham contabiliza 287 swaps desde las billeteras del atacante, usados para vender tokens menores. Bitquery señala movimientos a través de los puentes Mayan y Chainflip por unos 1,6 millones en ETH, mientras que el servicio Relay rechazó dos órdenes. A las 16:42 UTC, según Cointelegraph, unos 20 millones ya habían sido trasladados a nuevas billeteras y más de 20 millones permanecían en las direcciones señaladas por MB, incluidos los 106 BTC completos. Ninguna fuente atribuye el ataque a un grupo específico. Cuando los fondos se distribuyen en diez redes, importa también en qué red circula una stablecoin, porque de eso depende quién puede bloquearla.
Qué significa “ningún perjuicio para los clientes”
Según Bloomberg, citado por Bitcoin Magazine, MB ha declarado que asumirá todas las pérdidas. La frase del exchange puede interpretarse así: quien custodia criptoactivos en una plataforma no posee las claves, sino un crédito frente a la plataforma; si el exchange cubre el faltante, los saldos quedan intactos aunque la cadena muestre direcciones vaciadas. La diferencia entre ambas formas de custodia se explica en nuestra guía sobre self-custody, exchanges y wallets comparados.
Por ahora los clientes no pueden mover fondos y no hay fecha de reapertura. Cointelegraph señala que una posible filtración de datos obligaría a notificar a la autoridad brasileña de protección de datos. MB ha indicado que mantendrá informados a sus usuarios a través de los canales oficiales: seguir solo esos canales es también la primera defensa contra las estafas que imitan exchanges y autoridades. Quien desee trasladar sus fondos a una billetera propia tras la reapertura puede comenzar por cómo abrir una crypto wallet.
El marco regulatorio brasileño
El ataque llega justo en la semana en que el nuevo régimen del Banco Central entra en vigor. Según Capital Aberto, las reglas sobre empresas que ofrecen servicios en criptoactivos están vigentes desde el 2 de febrero. El 30 de octubre venció el plazo para presentar la primera fase de la solicitud de autorización, condición necesaria para seguir operando durante el proceso de revisión. Exame informa que MB presentó dicha solicitud. La normativa exige la separación entre fondos propios y de clientes, estructuras de gobernanza y requisitos de ciberseguridad para la custodia de claves; los nuevos requisitos prudenciales llegarán en 2027. En las fuentes consultadas no constan comentarios del Banco Central sobre el ataque.
El ataque a Mercado Bitcoin en síntesis
Qué está confirmado y qué no
- Confirmado: incidente en uno de los sistemas de MB en la noche del 2 de noviembre; depósitos y retiros suspendidos; direcciones de destino publicadas; congelaciones de Tether y Paxos registradas en cadena.
- Sin confirmar: el importe oficial, el sistema comprometido, los responsables y la fecha de reapertura. Las estimaciones de entre 40 y 48,5 millones de dólares provienen de terceros.
- A seguir: la reapertura y la cobertura de las pérdidas, las direcciones de depósito aún expuestas y la posible intervención del Banco Central.
La lectura más amplia
En la práctica, cuatro días antes, el 29 de octubre, Binance había sufrido el mayor robo de criptoactivos jamás registrado. Según Nextgov, TRM Labs lo estima en 6.360 millones de dólares y el FBI lo atribuye a Corea del Norte. Ninguna fuente vincula ambos casos. Es una interpretación propia que los dos incidentes desplacen el foco desde los contratos inteligentes hacia la seguridad operativa: claves, billeteras calientes, accesos internos. Cuando el atacante firma transferencias ordinarias, la blockchain no detecta ninguna anomalía.
La otra lección concierne a quién detiene los fondos. En las primeras horas la defensa más eficaz llegó de los emisores de stablecoins, con Tether a la cabeza, lo que confirma el peso actual de el papel de Tether entre estabilidad e incertidumbre: un poder útil ante un ataque, pero concentrado en pocas compañías. Las señales a vigilar son la fecha de reapertura, un importe oficial y la reacción del Banco Central a pocos días del vencimiento del plazo de autorizaciones.
