Ataque a Mercado Bitcoin: US$ 11,2 millones congelados, retiros suspendidos y promesa de cubrir pérdidas de clientes

São Paulo, 3 de noviembre de 2026 — Mercado Bitcoin (MB), una de las mayores plataformas de criptomonedas de Brasil, sufrió un ciberataque. Los principales retiros ocurrieron en la madrugada del lunes 2 de noviembre. Los atacantes extrajeron activos de las hot wallets de la empresa (billeteras conectadas a internet, utilizadas para procesar retiros) en al menos diez cadenas de bloques. La plataforma suspendió los depósitos y retiros. En un reportaje actualizado el lunes por la noche, CNN Brasil recogió la posición de MB: US$ 11,2 millones congelados y la garantía de que ningún cliente perderá sus activos. Al momento de publicar este texto, no había un plazo para reanudar los retiros.

congelados con emisores y socios, según MB

US$ 11,2 millones

aún involucrados en el incidente, según MB

US$ 38 millones

de salida total estimada por Chainalysis

US$ 49 millones

direcciones de depósito de clientes vaciadas en Ethereum, según Bitquery

35.853

Qué ocurrió el 2 de noviembre

En el primer comunicado, publicado en X y reproducido por InfoMoney, MB dijo que había contenido el incidente y suspendido los depósitos y retiros por precaución. También afirmó que los clientes no habían sufrido pérdidas y que no hubo filtración de datos.

Identificamos y contuvimos rápidamente un incidente de seguridad en uno de nuestros sistemas esta madrugada.

Mercado Bitcoin, comunicado del 2/11 reproducido por InfoMoney

Los horarios varían según la fuente. Según Arkham, el ataque comenzó con una transacción de prueba de 0,0001 ETH desde la hot wallet de MB en la red Base, y los retiros en esa red comenzaron a la 1:22 UTC del 2/11. En Brasilia eran las 22:22 del domingo 1/11. Los grandes desvíos llegaron horas después. Un informe compartido por Pablo Sabbatella, fundador de la empresa de seguridad Opsek, y citado por CoinDesk sitúa las mayores salidas entre las 6:19 y las 6:53 UTC, es decir, entre las 3:19 y las 3:53 en Brasilia. Chainalysis informó que un director de MB llamó a la empresa en las primeras horas del día para reportar el ataque. En un plazo de 30 minutos, Chainalysis entregó a las autoridades las direcciones cuyos saldos podían congelarse.

1. 01/11Noche: según Arkham, primer movimiento del atacante en la red Base, a las 22:22 en Brasilia.
2. 02/11Madrugada: las hot wallets de MB en al menos diez redes envían la mayor parte de los activos al atacante. Se suspenden los depósitos y retiros.
3. 02/11Mañana y primeras horas de la tarde: Bitquery registra el vaciamiento de direcciones de depósito de clientes incluso después de que la plataforma dijera que el ataque estaba contenido.
4. 02/11Noche: CNN Brasil recoge la posición de MB, con US$ 11,2 millones congelados, unos US$ 38 millones aún involucrados y la garantía de que ningún cliente perderá activos.
5. 03/11CoinDesk informa sobre el compromiso de cubrir las pérdidas. Arkham reporta nuevos movimientos de ETH del atacante.
6. Sin fechaReanudación de depósitos y retiros, que MB dice que anunciará en próximas actualizaciones.

Cuánto salió, cuánto se congeló y por qué difieren las cifras

En un reportaje actualizado a las 21:13 del 2/11, CNN Brasil recogió la posición de la plataforma: US$ 11,2 millones congelados y unos US$ 38 millones aún involucrados en el incidente. Juntos, ambos montos suman cerca de US$ 49 millones. Según CNN, MB dice que trabaja con Tether, Circle, BRL1, Paxos y Chainalysis en la recuperación. El congelamiento restringe el movimiento de los activos y, por sí solo, no demuestra que hayan sido devueltos a la plataforma. Las estimaciones de terceros llegan a cifras similares, con distintos métodos y horarios de corte.

Las cifras de congelamiento corresponden a distintos alcances y momentos. Bitquery utilizó datos hasta las 15:46 UTC del 2/11 en Ethereum y entre las 14:16 y las 15:47 UTC en las demás redes. En ese corte, contabilizaba US$ 5,9 millones congelados por Tether y US$ 1,5 millones por Paxos. Circle aún no había congelado nada, y unos US$ 4,29 millones en USDC y EURC podían moverse. Chainalysis dice que Tether congeló más de US$ 9 millones después de recibir las direcciones y menciona a Paxos, Anchorage Digital, Ripple y Circle entre sus socios. El 3/11, CoinDesk informó sobre US$ 11 millones congelados con ayuda de Tether, Circle y Chainalysis. Mientras no haya un balance consolidado, la cifra de referencia es la de la plataforma.

Cómo ocurrió el ataque, según el análisis de la cadena

Según el informe citado por CoinDesk, los desvíos fueron transferencias comunes, sin explotar un contrato inteligente. Esto indica que el atacante logró firmar transacciones en nombre de la plataforma. Cómo obtuvo ese acceso sigue siendo desconocido. Bitquery calcula que las hot wallets de las diez redes pagaron al atacante en unos 25 minutos, entre las 6:24 y las 6:50 UTC (3:24 y 3:50 en Brasilia). Después, a las 12:10 UTC, comenzó el vaciamiento de direcciones de depósito de clientes en Ethereum: se vaciaron 35.853 direcciones que sumaban unos US$ 261 mil. Según Bitquery, el mensaje de la plataforma que daba el incidente por contenido se publicó a las 12:56 UTC, en medio de ese vaciamiento. Los retiros todavía continuaban a las 15:44 UTC.

La hipótesis de Bitquery es que el atacante accedió al sistema de pagos de MB y a las claves de las direcciones de depósito, que suelen derivarse de una clave maestra. La propia Bitquery advierte que no puede demostrarlo solo con datos de la cadena de bloques. La plataforma no explicó cómo se obtuvo el acceso. Según CoinDesk, MB divulgó las direcciones de destino en las redes EVM, Bitcoin, Solana, Stellar y Tron para facilitar el rastreo.

Este martes (3/11), Arkham reportó que el atacante movió unos US$ 8 millones en ETH entre direcciones vinculadas al ataque, según crypto.news. Arkham planteó la posibilidad de que se utilizara el mezclador Tornado Cash, pero no identificó ningún depósito confirmado. Nadie se ha atribuido el ataque y no hay una atribución oficial.

Qué promete la plataforma y qué sigue sin respuesta

MB afirma que ningún cliente perderá activos. Según CoinDesk, la plataforma dijo que cubrirá una pérdida de entre US$ 38 millones y US$ 40 millones. La promesa de preservar los activos de los clientes no puede comprobarse únicamente con las transacciones en la cadena de bloques. El reportaje citado no detalla cómo se financiará esa cobertura ni los plazos. La empresa dice que notificó a las autoridades, sin precisar cuáles.

En la consulta realizada este martes, la página de estado de MB mostraba el sitio web, el inicio de sesión, la aplicación, el registro y la Trade API como operativos. La página no incluye depósitos ni retiros. La plataforma dice que informará el plazo de reanudación en próximas actualizaciones en sus canales oficiales.

Qué hacer si tienes saldo o pagos que dependen de la plataforma

1. No cuentes con retiros de MB para pagos con fecha fija. Si un envío de dinero a un proveedor depende de ese saldo, avísale al proveedor y revisa el cronograma.
2. Sigue solo la aplicación, el sitio web y los perfiles oficiales de la plataforma. Las capturas de pantalla y los mensajes reenviados no sustituyen al comunicado original.
3. Guarda estados de cuenta y comprobantes del saldo y de las órdenes pendientes. Servirán para cualquier verificación futura.
4. Cuando se reanuden los retiros, verifica la dirección de destino y sigue la transacción mediante su hash en un explorador público.

Mercado Bitcoin nunca pide contraseñas, códigos de verificación ni frases de recuperación.

Mercado Bitcoin, comunicado reproducido por CNN Brasil el 2/11

El funcionamiento de este tipo de fraude se explica en estafa del falso soporte y la falsa recuperación de criptomonedas. Para validar una transferencia de USDT en la red TRON, consulta cómo verificar una transacción en Tronscan. Swapo tampoco pide nunca contraseñas, códigos de acceso ni claves privadas. El caso también muestra que los emisores de stablecoins pueden congelar saldos vinculados a delitos, un tema que tratamos en T3 Financial Crime Unit.

Segundo ataque a una gran plataforma en menos de una semana

El ataque a MB ocurrió pocos días después del ataque a Binance. Según CoinDesk, se sustrajeron más de US$ 6.000 millones de Binance, y el FBI atribuyó el caso al grupo norcoreano TraderTraitor. CoinDesk también informa que no hay evidencia pública que vincule ambos ataques. Las novedades del caso Binance están en ataque a Binance: se reanudan los retiros y la empresa dice haber cubierto el 95% de las pérdidas. Actualizaremos este texto cuando MB divulgue el plazo de reanudación o un balance final de lo recuperado.

• Hackeos
• Exchanges
• Seguridad digital
• Estafas
• USDT
• Tether
• TRON