Mercado Bitcoin, l'une des plus grandes plateformes d'échange de cryptomonnaies du Brésil, a suspendu ses opérations après une faille de sécurité impliquant environ 38 millions de dollars d'actifs numériques, dont 11,2 millions de dollars sont déjà gelés, tandis que les enquêteurs traquent des transferts suspects sur plusieurs blockchains.

L'incident s'est produit le 2 novembre, lorsque des attaquants auraient pris le contrôle de portefeuilles associés à la plateforme et déplacé d'importants avoirs en cryptomonnaies vers des adresses nouvellement créées. Mercado Bitcoin a d'abord interrompu les dépôts et les retraits avant de mettre temporairement sa plateforme hors ligne, divulguant l'incident dans une déclaration sur X.

L'entreprise a maintenu que les actifs des clients restent protégés et qu'aucune information personnelle n'a été compromise, bien que des chercheurs indépendants en blockchain aient continué à signaler des transactions suspectes même après que la plateforme a déclaré l'incident maîtrisé.

L'attaque s'étend sur au moins 10 blockchains

Les portefeuilles impliqués opéraient sur au moins 10 réseaux, dont Bitcoin, Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain et Stellar. La société de sécurité blockchain Hypernative a initialement identifié plus de 40 millions de dollars de transferts suspects, les mouvements les plus importants étant concentrés dans une fenêtre d'environ 34 minutes entre 06h19 et 06h53 UTC. Une rafale d'une telle ampleur répartie sur des registres distincts oblige les enquêteurs à corréler l'activité chaîne par chaîne, ce qui explique pourquoi les sociétés d'analyse cartographient les portions qui se chevauchent des sorties de fonds.

Les actifs transférés comprenaient environ 106 BTC, 2 852 ETH, 10 700 SOL, 6,7 millions de XLM et 77 000 AVAX, ainsi que plus de 200 autres cryptomonnaies. Les transactions semblaient consister en des transferts de portefeuilles ordinaires plutôt qu'en une exploitation de contrat intelligent, soulevant des questions sur la manière dont les attaquants ont obtenu l'autorisation de déplacer les fonds. Cette distinction est techniquement importante : contrairement à une exploitation de contrat intelligent, qui abuse de failles dans le code on-chain, un transfert ordinaire ne peut être exécuté que par quiconque contrôle les clés privées ou les informations d'identification de signature pertinentes, faisant de la question de l'obtention de l'autorité de signature le cœur de l'enquête.

Une analyse plus approfondie des portefeuilles concernés, documentée dans une enquête de la plateforme d'analyse on-chain Bitquery, a estimé les sorties totales à 48,5 millions de dollars et identifié des milliers d'adresses de dépôt Ethereum vidées après l'annonce initiale du confinement par Mercado Bitcoin. Ces constatations suggèrent que la compromission aurait pu s'étendre au-delà des principaux hot wallets de la plateforme jusqu'aux infrastructures contrôlant les adresses de dépôt individuelles des clients. Les plateformes génèrent généralement une adresse de dépôt unique pour chaque client et s'appuient sur des hot wallets connectés à Internet pour le traitement quotidien, de sorte que le contrôle des deux couches couvrirait une part bien plus importante des flux de fonds d'une plateforme qu'une simple compromission d'un hot wallet. La méthode d'attaque précise et l'impact financier total restent sous enquête.

Mercado Bitcoin a par la suite estimé la valeur des actifs concernés à environ 38 millions de dollars, tout en faisant état de progrès dans le blocage des fonds liés à l'incident. Ce chiffre et l'estimation plus élevée de Bitquery n'ont pas encore été réconciliés.

Tether et d'autres émetteurs aident à geler 11,2 millions de dollars

La plateforme s'est coordonnée avec des émetteurs de stablecoins et des sociétés d'intelligence blockchain pour empêcher tout mouvement supplémentaire des cryptomonnaies concernées. Le PDG de Tether, Paolo Ardoino, a confirmé sur X que plus de 4,5 millions d'USDT liés à l'incident avaient été gelés. Mercado Bitcoin a ensuite fait état d'environ 11,2 millions de dollars d'actifs bloqués grâce à la coopération avec des partenaires dont Tether, Circle, Paxos, BRL1 et Chainalysis, détaillant ce chiffre dans une publication sur X.

Cette hausse du total reflète le fonctionnement des gels par les émetteurs : les émetteurs de stablecoins tels que Tether, Circle et Paxos peuvent mettre des adresses spécifiques sur liste noire au niveau du contrat du jeton, bloquant immédiatement les transferts de leurs jetons qui s'y trouvent. Les actifs natifs comme Bitcoin et Ethereum ne disposent d'aucun contrôle central comparable, si bien que leur récupération dépend du traçage. Des fonds supplémentaires ont été identifiés comme potentiellement récupérables, bien que le gel de cryptomonnaies ne les retourne pas automatiquement à la plateforme.

Mercado Bitcoin a notifié les autorités brésiliennes et poursuit ses investigations judiciaires tout en se préparant à rétablir ses services normaux. L'entreprise n'a pas annoncé de calendrier confirmé de réouverture.

Contexte du secteur : attaques récentes très médiatisées

La faille est survenue quelques jours après le piratage record de 6,3 milliards de dollars de Binance, attribué par le FBI à l'opération TraderTraitor de la Corée du Nord. Binance a ensuite repris les retraits après avoir reconstitué la plupart des actifs des clients concernés. Le 29 octobre, Polymarket a subi une attaque de vidage de portefeuilles de 2,7 millions de dollars impliquant un service de surveillance tiers compromis. Aucun élément ne relie actuellement l'incident de Mercado Bitcoin à l'une ou l'autre de ces attaques, et l'identité de leurs auteurs reste inconnue.

Protection des clients et prochaines étapes

Mercado Bitcoin a réaffirmé que les clients ne supporteraient aucune perte résultant de la faille. Elle a également mis en garde les utilisateurs contre les messages frauduleux de remboursement, soulignant que les représentants légitimes du support ne demanderont jamais de mots de passe, de codes de vérification ni de phrases de récupération de portefeuille.

Les priorités immédiates de la plateforme restent la récupération des actifs concernés, l'identification de la défaillance de sécurité et la reprise des opérations sans exposer davantage les fonds des clients au risque. Le calendrier confirmé de réouverture, les conclusions judiciaires sur la manière dont l'autorisation des portefeuilles a été obtenue et toute augmentation du total gelé de 11,2 millions de dollars sont les principaux indicateurs à surveiller au fur et à mesure du déploiement de la réponse.