Mercado Bitcoin, el mayor exchange de Brasil, confirmó el 2 de noviembre un incidente de seguridad que drenó entre 38 y 49 millones de dólares de hot wallets en al menos diez blockchains.
Mercado Bitcoin, el mayor exchange de criptomonedas de Brasil, confirmó el 2 de noviembre de 2026 un incidente de seguridad que drenó fondos de sus hot wallets (billeteras calientes) en al menos diez blockchains, incluyendo Base, Optimism y Arbitrum.
Las estimaciones del monto robado varían entre 38 millones de dólares (según el exchange) y 49 millones de dólares (según Chainalysis), pasando por 40 millones (CoinDesk, Bloomberg), 46 millones (Cointelegraph) y 48,5 millones (Bitquery). Mercado Bitcoin anunció que absorberá las pérdidas y que ningún cliente sufrirá pérdidas de fondos.
El vector del ataque no fue un exploit de smart contract ni un fallo en el código de ninguna blockchain. Según el análisis inicial publicado por Dickson Wu, ingeniero de seguridad senior de CertiK, los atacantes usaron credenciales de firma válidas: cada transferencia en las diez redes llevaba una firma criptográfica legítima, indistinguible de una transacción autorizada.
Esto significa que los atacantes obtuvieron acceso a la infraestructura de firma del exchange —posiblemente una clave privada, una credencial de módulo de seguridad de hardware (HSM) o un token de API con autoridad de firma—, no que explotaran una vulnerabilidad en el protocolo.
Reconocimiento previo y patrón de ataque
Según el post-mortem inicial de CertiK, los atacantes primero “exploraron ocho chains pequeñas durante cuatro horas” antes de pivotar a los hot wallets principales de Mercado Bitcoin. Este patrón sugiere una fase de reconocimiento y prueba: los atacantes verificaron que sus credenciales funcionaban en redes menores antes de lanzar el ataque principal. Alrededor de 20 millones de dólares se movieron a wallets recién creadas, mientras que más de 20 millones permanecieron en direcciones identificadas por la exchange, incluyendo 106 bitcoin.
La firma de seguridad Hypernative fue la primera en alertar sobre los movimientos sospechosos, estimando pérdidas superiores a 40 millones de dólares. Chainalysis, por su parte, informó que el atacante movió assets a través de 17 blockchains y que congeló 11 millones de dólares de los fondos robados.
Acceso a direcciones de depósito de usuarios
El análisis on-chain de Bitquery reveló un hallazgo más grave que el acceso a hot wallets: el atacante puede firmar por las direcciones de depósito de los usuarios. Esto significa que el compromiso no se limita a las reservas del exchange, sino que se extiende a las direcciones donde los clientes depositan fondos. Bitquery también confirmó que “horas después de que el exchange dijera que el ataque estaba contenido, el hacker seguía vaciando las direcciones de depósito de los clientes”.
Después de que Mercado Bitcoin anunciara la suspensión temporal de depósitos y retiros, los fondos continuaron moviéndose de direcciones vinculadas al incidente, seguido de miles de pequeñas transferencias de ether (ETH) a una sola dirección.
El exchange no respondió a las solicitudes de comentario sobre estas transferencias continuas. Un portavoz de Mercado Bitcoin dijo a Cointelegraph que los clientes no sufrieron pérdidas ni hubo fuga de datos, pero no explicó por qué los fondos seguían moviéndose.
Pregunta regulatoria: auditoría de firma
Las nuevas regulaciones de criptoactivos de Brasil entraron en vigor en febrero de 2026, con requisitos de capital mínimo, gobernanza, gestión de riesgos y compliance para proveedores de servicios de activos virtuales (VASP). Las reglas de aprobación del Banco Central tienen fecha límite de noviembre de 2026.
El hack plantea una pregunta directa: ¿la auditoría de seguridad independiente que Mercado Bitcoin presentó con su solicitud de licencia evaluó la infraestructura de firma que fue posteriormente comprometida? Por ahora no hay respuesta.
El incidente no ha sido atribuido a un grupo organizado y sigue bajo investigación. Mercado Bitcoin y CertiK no han publicado un post-mortem completo que explique cómo se comprometieron las credenciales de firma. La exchange tiene 4,5 millones de usuarios y recibió una inversión de 20 millones de dólares de Tether en julio de 2026 para expandir su negocio de tokenización, pagos y crédito.
Comparación con el hack de Binance
El incidente de Mercado Bitcoin ocurrió días después del hack de 6.300 millones de dólares a Binance, el mayor robo cripto confirmado. Aunque ambos ataques involucran credenciales de firma comprometidas, los mecanismos son distintos: el hack de Binance se vinculó a una única firma de aprobación que creó un token de acceso permanente a la infraestructura de firma, mientras que el de Mercado Bitcoin parece ser un compromiso directo de credenciales. CoinDesk agrupa ambos incidentes temporalmente, pero no hay evidencia de vinculación entre los atacantes.
Para los usuarios latinoamericanos, el caso plantea una tensión: Mercado Bitcoin asume las pérdidas y garantiza que ningún cliente pierda fondos, lo que limita el daño inmediato. Pero el vector (credenciales de firma comprometidas, acceso a direcciones de depósito, transferencias continuas post-suspensión) sugiere un compromiso de infraestructura interna más profundo que un exploit de smart contract, y la falta de un post-mortem completo deja preguntas abiertas sobre qué tan segura es la custodia del exchange.