Mercado Bitcoin, uno dei maggiori exchange di criptovalute del Brasile, ha sospeso le operazioni dopo una violazione della sicurezza che coinvolge circa 38 milioni di dollari in asset digitali, di cui 11,2 milioni di dollari già congelati, mentre gli investigatori tracciano trasferimenti sospetti su più blockchain.

L'incidente si è verificato il 2 novembre, quando gli aggressori hanno presumibilmente preso il controllo di wallet associati all'exchange e spostato ingenti quantità di criptovalute verso indirizzi appena creati. Mercado Bitcoin ha inizialmente sospeso depositi e prelievi prima di mettere temporaneamente offline la piattaforma, divulgando l'incidente in una dichiarazione su X.

La società ha sostenuto che gli asset dei clienti restano protetti e che nessuna informazione personale è stata compromessa, sebbene ricercatori blockchain indipendenti abbiano continuato a segnalare transazioni sospette anche dopo che l'exchange aveva dichiarato l'incidente contenuto.

L'attacco interessa almeno 10 blockchain

I wallet coinvolti operavano su almeno 10 reti, tra cui Bitcoin, Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain e Stellar. La società di sicurezza blockchain Hypernative ha inizialmente identificato oltre 40 milioni di dollari in trasferimenti sospetti, con i movimenti più consistenti concentrati in una finestra di circa 34 minuti tra le 06:19 e le 06:53 UTC. Un'onda di questa entità distribuita su registri separati richiede agli investigatori di correlare l'attività catena per catena: è uno dei motivi per cui le società di analisi stanno mappando le porzioni sovrapposte dei deflussi.

Gli asset trasferiti includevano circa 106 BTC, 2.852 ETH, 10.700 SOL, 6,7 milioni di XLM e 77.000 AVAX, insieme a più di 200 altre criptovalute. Le transazioni sembravano consistere in normali trasferimenti tra wallet anziché nello sfruttamento di uno smart contract, sollevando interrogativi su come gli aggressori abbiano ottenuto l'autorizzazione a spostare i fondi. La distinzione è tecnicamente rilevante: a differenza di uno sfruttamento di smart contract, che abusa di difetti nel codice on-chain, un normale trasferimento può essere eseguito solo da chi controlla le relative chiavi private o credenziali di firma, rendendo la questione di come sia stata ottenuta l'autorità di firma centrale per l'indagine.

Un'ulteriore analisi dei wallet interessati, documentata in un'indagine della piattaforma di analisi on-chain Bitquery, ha stimato deflussi totali per 48,5 milioni di dollari e rilevato lo svuotamento di migliaia di indirizzi di deposito Ethereum dopo l'annuncio iniziale di contenimento di Mercado Bitcoin. I risultati suggeriscono che la compromissione possa essersi estesa oltre gli hot wallet principali dell'exchange fino all'infrastruttura che controlla i singoli indirizzi di deposito dei clienti. Gli exchange generano tipicamente un indirizzo di deposito unico per ogni cliente e si affidano a hot wallet connessi a Internet per l'elaborazione quotidiana, quindi il controllo di entrambi i livelli coprirebbe gran parte dei flussi di fondi di un exchange, più di una compromissione di un singolo hot wallet. Il metodo d'attacco preciso e l'impatto finanziario totale restano sotto indagine.

Mercado Bitcoin ha successivamente stimato il valore degli asset coinvolti in circa 38 milioni di dollari, segnalando progressi nel blocco dei fondi collegati all'incidente. Tale cifra e la stima più elevata di Bitquery non sono ancora state riconciliate.

Tether e altri emittenti aiutano a congelare 11,2 milioni di dollari

L'exchange si è coordinato con emittenti di stablecoin e società di intelligence blockchain per prevenire ulteriori movimenti delle criptovalute interessate. Il CEO di Tether Paolo Ardoino ha confermato su X che oltre 4,5 milioni di USDT collegati all'incidente erano stati congelati. Mercado Bitcoin ha successivamente riportato circa 11,2 milioni di dollari in asset bloccati grazie alla cooperazione con partner tra cui Tether, Circle, Paxos, BRL1 e Chainalysis, dettagliando la cifra in un post su X.

L'aumento del totale riflette il funzionamento dei congelamenti degli emittenti: gli emittenti di stablecoin come Tether, Circle e Paxos possono inserire indirizzi specifici in blacklist a livello di contratto del token, bloccando immediatamente i trasferimenti dei loro token ivi detenuti. Gli asset nativi come Bitcoin ed Ethereum non hanno un controllo centrale comparabile, quindi il loro recupero dipende dal tracciamento. Ulteriori fondi sono stati identificati come potenzialmente recuperabili, anche se il congelamento delle criptovalute non le restituisce automaticamente all'exchange.

Mercado Bitcoin ha informato le autorità brasiliane e prosegue le indagini forensi mentre si prepara a ripristinare i normali servizi. La società non ha annunciato un calendario confermato per la riapertura.

Il contesto del settore: recenti attacchi di alto profilo

La violazione è avvenuta pochi giorni dopo il record di 6,3 miliardi di dollari dell'hack a Binance, attribuito dall'FBI all'operazione TraderTraitor della Corea del Nord. Binance ha successivamente ripreso i prelievi dopo aver reintegrato la maggior parte degli asset dei clienti coinvolti. Il 29 ottobre, Polymarket ha subito un attacco da 2,7 milioni di dollari che ha svuotato wallet, coinvolgendo un servizio di monitoraggio di terze parti compromesso. Nessuna evidenza collega attualmente l'incidente di Mercado Bitcoin a uno dei due attacchi, e l'identità dei responsabili resta sconosciuta.

Tutela dei clienti e prossimi passi

Mercado Bitcoin ha ribadito che i clienti non subiranno perdite derivanti dalla violazione. Ha inoltre avvisato gli utenti contro messaggi fraudolenti di rimborso, sottolineando che i legittimi rappresentanti dell'assistenza non chiederanno mai password, codici di verifica o frasi di recupero del wallet.

Le priorità immediate dell'exchange restano il recupero degli asset interessati, l'identificazione del fallimento della sicurezza e il ripristino delle operazioni senza esporre ulteriormente i fondi dei clienti a rischi. Il calendario confermato di riapertura, i risultati forensi su come sia stata ottenuta l'autorizzazione dei wallet e un eventuale aumento del totale di 11,2 milioni di dollari congelati sono gli indicatori chiave da seguire mentre la gestione dell'incidente prosegue.