Mercado-Bitcoin-Hot-Wallet-Angriff über mehrere Chains

Am 2. November 2026 wurden die Hot Wallets von Mercado Bitcoin — der größten Kryptobörse Brasiliens — auf zehn Blockchains um rund 46 Millionen Dollar erleichtert. Es gab keinen Smart-Contract-Bug und kein manipulierbares Orakel: Jede ausgehende Transaktion war ein gewöhnlicher nativer Transfer mit gültiger Signatur — der Signatur eines Angreifers, der sich irgendwie die Fähigkeit verschafft hatte, die Mittel der Börse selbst zu bewegen.

Was geschah

Zwischen etwa 06:24 und 06:50 UTC, in einem Fenster von rund 25 Minuten, zahlten die Hot Wallets der Börse auf Ethereum, Bitcoin, Solana, Tron, Stellar, Polygon, Arbitrum, Avalanche, XDC und BNB Chain an ein einziges Cluster angreiferkontrollierter Adressen aus. Bitquery, das den Abzug on-chain rekonstruierte, bezifferte den Verlust auf etwa 48,5 Millionen Dollar (oder 47,2 Millionen ohne einen illiquiden Arbitrum-Token), wobei rund 29,5 Millionen auf Ethereum und etwa 8,3 Millionen auf Bitcoin entfielen; die Börse bestätigte öffentlich mutmaßliche Abflüsse von über 46 Millionen Dollar, während Hypernatives vorläufige Schätzung bei über 40 Millionen gelegen hatte. Ab etwa 12:10 UTC ging der Angreifer weiter und signierte Transfers, die begannen, Zehntausende einzelner Kunden-Einzahlungsadressen zu leeren. Mercado Bitcoin erklärte, keine Hinweise auf offengelegte private Wallet-Schlüssel gefunden zu haben, dennoch konnte der Angreifer über eine kompromittierte interne Umgebung Transfers auslösen — ein Muster, das Analysten eher als Kompromittierung der Signatur-Infrastruktur oder der Schlüssel deuten denn als Protokollfehler.

Folgen

Die Börse stoppte Auszahlungen und leitete eine Untersuchung ein; sie erklärte, kein Kunde werde Geld verlieren und die Verluste würden vom Unternehmen getragen. Die Stablecoin-Emittenten reagierten schnell: Tether und Paxos froren zusammen rund 7,3 Millionen Dollar ein — etwa 15% der Beute — über USDT, USDT0, PAXG und weitere Token auf mehreren Chains, während Circle beim letzten öffentlichen Stand nichts eingefroren hatte, sodass rund 4,29 Millionen Dollar in USDC und EURC frei beweglich blieben. Der Großteil des gestohlenen Werts war zum Zeitpunkt der Berichterstattung noch nicht gewaschen; allein auf Ethereum wurden etwa 19,5 Millionen in zehn frische Wallets verschoben. Mercado Bitcoin hatte die Angreifer nicht identifiziert und nicht offengelegt, wie der Einbruch begann.

Warum es wichtig ist

Der Mercado-Bitcoin-Angriff ist eine Lehrbuch-Kompromittierung von Schlüsseln und Signatur bei einer zentralen Börse: Sobald ein Angreifer die Maschinerie kontrolliert, die Auszahlungen signiert, führt die Blockchain jeden Diebstahl getreu als legitime Transaktion aus. Er ereignete sich Tage nach dem rekordverdächtigen 6,3-Milliarden-Dollar-Diebstahl bei Binance und unterstreicht, dass operative Sicherheit — nicht raffinierte Contract-Exploits — der dominante Fehlermodus für Verwahrer bleibt und frühere Hot-Wallet-Katastrophen widerhallt. Das Tempo der chainübergreifenden Auszahlung — zehn Netzwerke in weniger als einer halben Stunde geleert — zeigt zudem, warum Emittenten-Freezes immer nur einen Bruchteil zurückholen können: Bis Menschen reagieren, sind die Mittel bereits verstreut.