La plus grande plateforme d'échange de cryptomonnaies du Brésil a suspendu les dépôts et les retraits à la suite d'un incident de sécurité détecté en début de journée, les outils de surveillance on-chain signalant environ 40 millions de dollars de transferts suspects liés à Mercado Bitcoin. L'entreprise n'a pas publié de chiffre officiel de pertes.

Mercado Bitcoin a déclaré lundi avoir identifié et interrompu un incident de sécurité pendant la nuit. Selon la plateforme, aucune perte client ni fuite de données n'a été constatée. Par mesure de précaution, elle a gelé les dépôts et les retraits, et ses équipes tracent les actifs tout en coopérant avec les autorités.

Le média financier brésilien Exame a rapporté que la société de sécurité Hypernative a associé des portefeuilles liés à la plateforme à plus de 40 millions de dollars de sorties de fonds — environ 217,7 millions de reais au taux de change alors en vigueur.

Ce que Mercado Bitcoin a confirmé

Dans un communiqué sur X, Mercado Bitcoin a indiqué que ses équipes enquêtent sur l'affaire, tracent les actifs concernés et collaborent avec les autorités, ajoutant qu'elle fournira des mises à jour régulières via ses canaux officiels.

Une publication ultérieure a communiqué les adresses de destination associées aux mouvements liés à l'incident, précisant que cette liste est destinée exclusivement au traçage. Les adresses couvrent cinq réseaux :

• EVM : 0xe485e7A70b1131216Cb47CA4555c4Bbb2C742478
• Bitcoin : 19qGpsHvzh1t6pVi526XNNkh6hW6prDZp
• Solana : 3YX6WHncP1Ra4AotE9YLawFt4nPmxyux288FWXkEW97J
• Stellar : GDXYRI6IONQA5YTGRLQ603FGJ2BWXPJTTQPUXFPSEXSRKBZLFKMZSOLP
• Tron : TEX3HuDRHRa3tnYpy96M4UfSx62VhDyA5L

La plateforme a indiqué continuer à travailler au rétablissement sûr de ses services. Sa page de statut faisait état de difficultés concernant la connexion, l'application, l'inscription et la Trade API ce matin-là. Ces statuts de service, ainsi que le compte X officiel de la plateforme, sont les points où les clients peuvent suivre l'éventuelle levée du gel des dépôts et des retraits.

Les signaux on-chain derrière le piratage de Mercado Bitcoin

L'évaluation initiale de Hypernative, rapportée par Exame, pointait vers d'importants soldes sur des adresses ensuite reprises par Mercado Bitcoin. Les avoirs comprenaient environ 2 852 ETH et environ 106 BTC, ainsi que des milliers de SOL, des millions de XLM et des jetons sur Avalanche, XDC, Tron et plus de 200 autres actifs. Ces chiffres provenant du suivi de flux sur des registres publics plutôt que des comptes de l'entreprise, ils demeurent des estimations d'analystes tant que la plateforme n'en confirme pas le montant.

Les données publiques de la blockchain Bitcoin corroborent une partie du tableau. L'adresse 19qGpsHvzh1t6pVi526XNNkh6hW6prDZp présente environ 106,07 BTC répartis sur sept transferts, et les fonds n'étaient pas dépensés au moment de la vérification sur la chaîne Bitcoin publique. Une consultation Solana de la destination désignée montrait environ 1,5 million de dollars en jetons, dominés par l'USDT.

Exame a également rapporté que Tether avait bloqué près de 3,7 millions de dollars en USDT sur des adresses faisant l'objet d'une enquête. En tant qu'émetteur de l'USDT, Tether peut immobiliser des jetons sur des adresses spécifiques, et ce gel empêche tout nouveau mouvement de ces stablecoins — mais il ne permet pas de récupérer le reste du butin mixte.

Les instantanés de chaîne ne prouvent pas seuls que chaque jeton signalé provient de la garde de Mercado Bitcoin. Ils montrent toutefois pourquoi l'entreprise a publié les adresses de destination et demandé au marché de les surveiller.

Pourquoi ce gel importe

La plus grande plateforme de cryptomonnaies grand public du Brésil a suivi la séquence classique du cambriolage d'échange : une alerte nocturne, un gel des dépôts et des retraits, une assurance sur la sécurité des clients, puis la publication de portefeuilles de destination pour la traque. Geler les canaux est le réflexe initial d'une plateforme suspectant que ses clés ou ses systèmes de signature sont compromis, car des canaux de retrait ouverts permettraient à un attaquant de continuer à soutirer des fonds.

Les utilisateurs ne peuvent pas déplacer leurs fonds tant que les canaux restent fermés, même si leurs soldes semblent intacts. Les régulateurs attendront une explication technique claire une fois les retraits rétablis, et émetteurs et plateformes surveilleront si d'autres jetons signalés sont gelés avant d'atteindre des mixers ou des desks OTC.

Le moment choisisse l'enjeu. L'annonce de Mercado Bitcoin est survenue quelques jours après un drainage de portefeuille chaud de plusieurs milliards de dollars ailleurs — une autre ampleur, mais la même leçon. Lorsque les clés de garde ou l'infrastructure de signature défaillent, le premier réflexe consiste à endiguer l'hémorragie. Puis commence la course au déplacement des fonds entre les chaînes.

Les nouveaux canaux changent la surface du vol, mais le problème de la garde reste ancien. Tant que Mercado Bitcoin n'aura pas rouvert les dépôts et les retraits et expliqué la défaillance, le chiffre de 40 millions de dollars demeurera une estimation d'analystes face à un gel officiel.