Mercado Bitcoin, uno de los exchanges de criptomonedas más grandes de Brasil, confirmó el lunes un incidente de seguridad que, según estiman analistas de blockchain, drenó más de $46 millones de sus billeteras. Aunque la empresa anunció que había suspendido los depósitos y retiros, las direcciones vinculadas al incidente continuaron recibiendo fondos durante horas después.

Dickson Wu, ingeniero de seguridad senior de Certik, publicó un análisis preliminar del incidente en X, escribiendo que los atacantes "actuaron durante cuatro horas en ocho cadenas pequeñas", incluidas Base, Optimism y Arbitrum. El ataque luego se trasladó a las principales billeteras calientes de la empresa antes de sustraer cantidades mínimas de Ether (ETH) desde 27,160 direcciones diferentes.

"Así que quienquiera que haya hecho esto también puede mover dinero desde las direcciones de depósito de clientes de MB", escribió Wu.

Según empresas de seguridad, el hackeo se llevó a cabo mediante transferencias estándar en lugar de un exploit de contrato inteligente. Mercado Bitcoin dijo que el incidente no tendría impacto financiero para sus clientes. Esta distinción es importante para los esfuerzos de recuperación: las transferencias directas dejan un rastro visible en las blockchains públicas que los investigadores pueden seguir, y las stablecoins robadas pueden ser congeladas a nivel de token por sus emisores.

Los fondos siguieron moviéndose tras el anuncio de suspensión

Wu informó que, horas después de que Mercado Bitcoin anunciara la suspensión temporal de depósitos y retiros, los fondos continuaron saliendo de las direcciones vinculadas al incidente, seguidos por miles de pequeñas transferencias de ETH canalizadas hacia una sola dirección.

Un portavoz de Mercado Bitcoin dijo a Cointelegraph que los clientes no habían sufrido pérdidas y que no se había filtrado ningún dato. Sin embargo, la empresa no respondió a las solicitudes de comentarios sobre las transferencias continuas. Una filtración de datos de este tipo también podría activar requisitos de notificación ante la autoridad de protección de datos de Brasil.

El hackeo aún no ha sido atribuido a un grupo organizado y permanece bajo investigación.

De los fondos robados, aproximadamente $6.2 millones habían sido congelados por los emisores de stablecoins Tether y Circle al cierre de esta edición (4:42 pm UTC). Cerca de $20 millones habían sido trasladados a billeteras recién creadas, mientras que más de $20 millones permanecían en direcciones asociadas identificadas por Mercado Bitcoin, incluidos los 106 BTC. Si se pueden congelar más fondos pendientes y cuándo levantará el exchange su suspensión temporal son los puntos inmediatos a observar a medida que avanza la investigación.

El exchange se suma a la creciente lista de víctimas de brechas

Mercado Bitcoin reportaba 4.5 millones de usuarios en julio, cuando el emisor de stablecoins Tether anunció una inversión de $20 millones para apoyar la expansión del exchange en tokenización, pagos y crédito. Otro exchange respaldado por Tether en Latinoamérica, el chileno Orionx, anunció su cierre en septiembre después de que una auditoría forense revelara que más de $7 millones en activos de clientes se habían trasladado a billeteras fuera de su control.

El incidente ocurrió días después de que Binance reportara el jueves un hackeo de $6.3 mil millones dirigido a sus billeteras calientes. Binance suspendió depósitos y retiros y se comprometió a cubrir las pérdidas de los clientes, antes de comenzar a reanudar los retiros el domingo, indicando que había repuesto el 95% de los activos robados. En conjunto, los incidentes recientes muestran que las billeteras calientes de los exchanges siguen siendo un punto de ataque recurrente, con operadores respondiendo mediante pausas de retiros, compromisos de absorber pérdidas de clientes y, cuando hay stablecoins involucradas, congelamientos por parte de los emisores.