Compromission multichaîne des hot wallets de Mercado Bitcoin

Le 2 novembre 2026, Mercado Bitcoin — la plus grande plateforme crypto du Brésil — a vu ses hot wallets vidés sur dix blockchains pour environ 46 millions de dollars. Il n'y avait aucun bug de contrat intelligent ni aucun oracle à manipuler : chaque transaction sortante était un transfert natif ordinaire portant une signature valide, celle d'un attaquant qui avait d'une manière ou d'une autre obtenu la capacité de déplacer les fonds propres de la plateforme.

Ce qui s'est passé

Entre environ 06h24 et 06h50 UTC, dans une fenêtre d'une vingtaine de minutes, les hot wallets de la plateforme sur Ethereum, Bitcoin, Solana, Tron, Stellar, Polygon, Arbitrum, Avalanche, XDC et BNB Chain ont versé des fonds à un unique groupe d'adresses contrôlées par l'attaquant. Bitquery, qui a reconstitué la ponction on-chain, a évalué la perte à environ 48,5 millions de dollars (ou 47,2 millions hors un token Arbitrum illiquide), dont environ 29,5 millions sur Ethereum et environ 8,3 millions sur Bitcoin ; la plateforme a confirmé publiquement des sorties suspectes de plus de 46 millions de dollars, tandis que l'estimation préliminaire de Hypernative dépassait 40 millions. À partir d'environ 12h10 UTC, l'attaquant est allé plus loin, signant des transferts qui ont commencé à vider des dizaines de milliers d'adresses de dépôt de clients individuels. Mercado Bitcoin a déclaré n'avoir trouvé aucune preuve que des clés privées de wallet aient été exposées, mais l'attaquant a pu initier des transferts via un environnement interne compromis — un schéma que les analystes interprètent comme une compromission de l'infrastructure de signature ou des clés plutôt que comme une faille de protocole.

Conséquences

La plateforme a suspendu les retraits et ouvert une enquête, affirmant qu'aucun client ne perdrait d'argent et que les pertes seraient absorbées par l'entreprise. Les émetteurs de stablecoins ont réagi vite : Tether et Paxos ont gelé ensemble environ 7,3 millions de dollars — soit à peu près 15% du butin — en USDT, USDT0, PAXG et autres tokens sur plusieurs chaînes, tandis que Circle n'avait rien gelé au dernier point public, laissant environ 4,29 millions de dollars en USDC et EURC libres de circuler. L'essentiel de la valeur volée n'avait pas été blanchi au moment des faits ; sur Ethereum seul, environ 19,5 millions ont été répartis dans dix nouveaux wallets. Mercado Bitcoin n'avait pas identifié les attaquants ni révélé comment l'intrusion avait commencé.

Pourquoi c'est important

La compromission de Mercado Bitcoin est un cas d'école de compromission des clés et de la signature sur une plateforme centralisée : dès qu'un attaquant contrôle la machinerie qui signe les retraits, la blockchain exécute fidèlement chaque vol comme une transaction légitime. Elle est survenue quelques jours après le vol record de 6,3 milliards de dollars chez Binance, soulignant que la sécurité opérationnelle — et non des exploits de contrats ingénieux — reste le mode de défaillance dominant pour les dépositaires, à l'image de catastrophes passées de hot wallets. La rapidité du paiement multichaîne, vidant dix réseaux en moins d'une demi-heure, montre aussi pourquoi les gels des émetteurs ne peuvent récupérer qu'une fraction : le temps que les humains réagissent, les fonds sont déjà dispersés.