Brecha en las Hot Wallets multicadena de Mercado Bitcoin

El 2 de noviembre de 2026, Mercado Bitcoin — el mayor exchange de criptomonedas de Brasil — vio vaciadas sus hot wallets en diez blockchains por aproximadamente 46 millones de dólares. No hubo ningún fallo de contrato inteligente ni ningún oráculo que manipular: cada transacción saliente fue una transferencia nativa corriente con una firma válida, la firma de un atacante que de algún modo había obtenido la capacidad de mover los propios fondos del exchange.

Qué ocurrió

Entre aproximadamente las 06:24 y las 06:50 UTC, en una ventana de unos 25 minutos, las hot wallets del exchange en Ethereum, Bitcoin, Solana, Tron, Stellar, Polygon, Arbitrum, Avalanche, XDC y BNB Chain pagaron a un único clúster de direcciones controladas por el atacante. Bitquery, que reconstruyó el drenaje on-chain, valoró la pérdida en unos 48,5 millones de dólares (o 47,2 millones excluyendo un token ilíquido de Arbitrum), de los cuales unos 29,5 millones correspondieron a Ethereum y unos 8,3 millones a Bitcoin; el exchange confirmó públicamente salidas sospechosas por más de 46 millones de dólares, mientras que la estimación preliminar de Hypernative había superado los 40 millones. Desde alrededor de las 12:10 UTC el atacante fue más allá, firmando transferencias que comenzaron a vaciar decenas de miles de direcciones de depósito de clientes individuales. Mercado Bitcoin afirmó no haber encontrado indicios de que las claves privadas de las wallets se hubieran expuesto, pero el atacante pudo iniciar transferencias a través de un entorno interno comprometido — un patrón que los analistas interpretan como un compromiso de la infraestructura de firma o de las claves más que como un fallo del protocolo.

Consecuencias

El exchange suspendió los retiros y abrió una investigación, declarando que ningún cliente perdería dinero y que las pérdidas serían asumidas por la empresa. Los emisores de stablecoins actuaron con rapidez: Tether y Paxos congelaron en conjunto unos 7,3 millones de dólares — alrededor del 15% del botín — en USDT, USDT0, PAXG y otros tokens en varias cadenas, mientras que Circle no había congelado nada en la última comprobación pública, dejando unos 4,29 millones de dólares en USDC y EURC libres para moverse. La mayor parte del valor robado no se había blanqueado en el momento del informe; solo en Ethereum unos 19,5 millones se trasladaron a diez wallets nuevas. Mercado Bitcoin no había identificado a los atacantes ni revelado cómo comenzó la intrusión.

Por qué importa

La brecha de Mercado Bitcoin es un caso de manual de compromiso de claves y firma en un exchange centralizado: una vez que un atacante controla la maquinaria que firma los retiros, la blockchain ejecuta fielmente cada robo como una transacción legítima. Ocurrió pocos días después del robo récord de 6.300 millones de dólares a Binance, subrayando que la seguridad operativa — y no exploits ingeniosos de contratos — sigue siendo el modo de fallo dominante para los custodios, repitiendo desastres anteriores de hot wallets. La velocidad del pago multicadena, vaciando diez redes en menos de media hora, también muestra por qué los congelamientos de los emisores solo pueden recuperar una fracción: para cuando los humanos reaccionan, los fondos ya están dispersos.