Hacker do Mercado Bitcoin teria usado o próprio sistema de saques da corretora, indicam investigações

• Em e-mail aos clientes, Mercado Bitcoin confirma que US$ 49 milhões, cerca de R$ 267 milhões, foram drenados pelo hacker.
• Congelamentos confirmados somam cerca de US$ 10,5 milhões, mostra levantamento do WB3News; Mercado Bitcon afirma que chegam a US$ 11 milhões.

O hacker que drenou carteiras do Mercado Bitcoin (MB) na madrugada de 2 de novembro de 2026 emitiu as transferências pelo próprio sistema de saques da corretora, indicam análises da Bitquery, empresa de dados de blockchain, e da Paradigma Education. A investigação da Bitquery contabiliza US$ 48,5 milhões em criptoativos retirados em dez blockchains e 35.853 endereços de depósito de clientes esvaziados na Ethereum, cada um assinando a própria transferência para o atacante.

Em e-mail enviado aos clientes às 22h19 de segunda-feira, o MB informou que já bloqueou cerca de US$ 11 milhões, com apoio de Tether, Circle, BRL1, Paxos e Chainalysis, e que o valor ainda não bloqueado é de cerca de US$ 38 milhões. Somados, os dois valores chegam a cerca de US$ 49 milhões, aproximadamente R$ 267 milhões, perto dos US$ 48,5 milhões calculados pela Bitquery.

A corretora garante que os clientes não perderão ativos e informa que divulgará o prazo de retomada da plataforma nas próximas atualizações. Até o momento desta publicação, a plataforma segue inacessível para os clientes da exchange.

Os congelamentos confirmados nos registros públicos das blockchains somam cerca de US$ 10,5 milhões, ante os US$ 11 milhões informados pelo MB, mostra levantamento do WB3News. A conta reúne os US$ 7,3 milhões de Tether e Paxos registrados pela Bitquery até as 12h46 e US$ 3,2 milhões que a Circle, emissora do USDC e do EURC, bloqueou depois desse horário: 2,24 milhões de USDC numa carteira do atacante no Ethereum, às 13h30, e cerca de US$ 990 mil nas duas stablecoins numa carteira na Stellar, às 18h28. Entre 20h21 e 20h28, minutos depois do post do MB, uma carteira ligada ao hacker acumulou 2.979 ETH, cerca de US$ 6,7 milhões.

Bitquery e Paradigma apontam o sistema de saques do MB como origem das transferências

A Hypernative, empresa de segurança de blockchain, foi a primeira a identificar o ataque, em alerta divulgado às 10h05 de segunda por Pablo Sabbatella, fundador da Opsek. As primeiras movimentações suspeitas começaram às 23h15 de domingo (1º), com a limpeza de endereços antigos de depósito em bitcoin, e o bloco principal ocorreu entre 3h19 e 3h53, com a transferência de criptoativos a endereços recém-criados, segundo a Hypernative. A empresa classificou as saídas como "transferências simples, não uma exploração de smart contract" (tradução livre) e afirmou que ainda não estava claro como o hacker obteve autorização de assinar as transações.

As hot wallets do MB, carteiras conectadas à internet que processam os saques, enviaram a maior parte dos criptoativos drenados ao hacker em cerca de 25 minutos, entre 3h24 e 3h50, de acordo com a investigação da Bitquery. A carteira principal da corretora na Ethereum, em uso desde setembro, transferiu primeiro 2.852 ETH, depois USDT e USDC e, em seguida, cerca de 185 outros tokens. Na rede Bitcoin, a hot wallet perdeu quase todo o saldo numa única transação de 104,43 BTC, às 3h41. A carteira, que recebeu 36.465 BTC desde que entrou em operação, ficou com saldo zero, mostram os registros do explorador mempool.space.

A transação de 104,43 BTC concentra os sinais atípicos apontados pela Paradigma Education em uma thread publicada no X a partir das 11h18: o valor quebrado, contra quantias historicamente redondas e menores, de 10 ou 30 BTC; o número de entradas muito acima do comum; e o destino, um endereço P2PKH, formato mais antigo de endereço de bitcoin, recém-criado, no lugar do P2SH usado normalmente. A Paradigma, que contabiliza US$ 45,1 milhões retirados das hot wallets "de forma incompatível com seus padrões históricos", aborda em outra publicação o modelo da transação e a taxa paga como marcas do software da corretora:

"Há sinais de que o ataque foi iniciado pelo sistema que o MB usa pra construir transações. A tx. dos Bitcoin segue o mesmo template que eles sempre usam. A fee de 1.2 sat/vB também (usam uma escala de 1.2, 2.4, 3.6, 4.8...)"

Os saques de clientes feitos pela hot wallet de bitcoin do MB nas horas anteriores ao ataque pagaram 1,20, 2,41 e 3,62 sat/vB, unidade que mede a taxa por tamanho da transação, e usaram de uma a cinco entradas, segundo levantamento do WB3News no explorador mempool.space. A transação de 104,43 BTC pagou 1,21 sat/vB e reuniu 34 entradas.

A investigação da Bitquery, assinada por Gaurav Agarwal, da equipe de inteligência de blockchain da Bitquery Research, compara a mesma transação aos saques normais da corretora e registra que as varreduras dos endereços de depósito, ao contrário, usaram outro software e pagaram taxas bem mais altas. A conclusão vem com a ressalva de que a blockchain, sozinha, não comprova a hipótese:

"Isso é compatível com um acesso ao próprio sistema de pagamentos da corretora somado às chaves de depósito."

Na Stellar, a carteira usada pelo hacker foi criada às 3h27 com recursos enviados pela hot wallet do MB na rede, mostram os registros públicos da blockchain. A Bitquery atribui ao MB as carteiras de Solana, Tron e Stellar pelo comportamento e pelo horário das transações, já que elas não têm rótulo público.

No e-mail enviado aos clientes às 22h19 de segunda-feira, o MB informou ter acionado seus protocolos de governança, notificado as autoridades competentes e tirado a plataforma do ar assim que detectou o incidente, e delimitou o alcance do ataque:

"Para entender o incidente, vale explicar como guardamos os ativos. Uma pequena parte fica em carteiras online, chamadas de carteiras quentes, que usamos nas operações do dia a dia, como saques e depósitos. Funciona como o caixa de uma loja. A maior parte fica em carteiras offline, as carteiras frias, que funcionam como um cofre. O incidente atingiu apenas as carteiras quentes."

Endereços de depósito foram esvaziados entre 9h10 e 12h44, aponta Bitquery

Os endereços de depósito, que a corretora atribui a cada cliente para receber criptomoedas, foram utilizados no ataque a partir das 9h10 de segunda-feira. Pela contagem da Bitquery, 35.853 endereços no Ethereum transferiram todo o saldo ao hacker entre 9h10 e pelo menos 12h44, último registro da investigação, num total de cerca de US$ 261 mil. Outros 53 endereços de depósito na rede Bitcoin também foram esvaziados.

Dickson Wu, engenheiro sênior de segurança da Certik, verificou uma amostra de 20 endereços que pagaram o hacker: todos estavam em uso antes de domingo, e 19 haviam repassado depósitos para a mesma carteira coletora do MB, segundo thread publicada no X.

Cerca de 91% dos endereços no Ethereum tinham menos de US$ 10. Os 109 endereços com US$ 100 ou mais concentravam 61% do valor drenado.

Distribuição dos valores drenados por blockchain. Fonte: Bitquery

Os endereços que ainda tinham ETH pagaram as taxas de rede de outros endereços, o que permitiu ao hacker levar também os criptoativos depositados neles, segundo a Bitquery. Cada endereço assinou a própria transferência, operação que exige a chave privada correspondente, e a investigação associa esse padrão à forma como as corretoras geram endereços:

"As corretoras costumam gerar todas as chaves de depósito a partir de uma única chave-mestra, então o hacker provavelmente consegue assinar por qualquer uma delas."

O comunicado oficial em que o MB anunciou ter identificado e contido "com rapidez" o incidente foi publicado às 9h56, enquanto ocorria o maior volume da varredura. A Bitquery registra endereços de depósito sendo esvaziados até às 12h44, quase três horas depois, e contexta a afirmação inicial da corretora: "Não é o que a blockchain mostra". Na atualização das 20h17, o MB informou que "a contenção continua".

No e-mail enviado aos clientes, o MB afirma que as informações sobre a retomada serão divulgadas apenas pelo app, pelo site e pelos perfis da corretora no Instagram e no X, e faz um alerta sobre golpes:

“Nunca pedimos sua senha, código de verificação ou frase de recuperação, e não oferecemos reembolsos por links, WhatsApp ou ligação. Se receber qualquer mensagem assim em nome do Mercado Bitcoin, não responda e não clique em nada.”

Estimativas do ataque vão de US$ 40 milhões a US$ 49 milhões

O valor do ataque varia conforme a fonte, o método e o horário da contagem.

Valores estimados do hack do Mercado Bitcoin. Fonte: Diversas

A Bitquery distribui o total por rede e confirma as quantidades de BTC, ETH, SOL, XLM, TRX, AVAX e XDC apontadas pela Hypernative.

Fonte: Bitquery, com dados até 12h46. * Bloqueios da Circle posteriores a esse horário, confirmados pelo WB3News nos registros do contrato do USDC no Ethereum (13h30) e da rede Stellar (18h28).

Na atualização das 20h17, o MB afirma que o cliente "não terá nenhuma perda de ativos em razão do incidente de segurança". A Bitquery observa que a garantia se refere aos recursos da própria corretora e não pode ser verificada na blockchain.

A Arkham Intelligence, plataforma de rastreamento de blockchain que agrupa as carteiras do atacante sob o rótulo "Mercado Bitcoin Hacker", informou em publicação no X, às 3h25 desta terça-feira (3), que o hacker mantém US$ 46 milhões em criptoativos.

Congelamentos confirmados somam US$ 10,5 milhões, ante US$ 11 milhões informados pelo MB

Emissores de stablecoins e de tokens lastreados em ouro conseguem bloquear criptoativos em endereços específicos da blockchain. A Tether fez o primeiro congelamento às 7h21, de USDT0 na Polygon, seguido de USDT na Tron às 8h37 e de USDT e 81 onças de ouro tokenizado na Ethereum às 8h38, segundo a Bitquery.

O endereço principal do hacker na Ethereum tinha 3,06 milhões de USDT quando foi bloqueado, segundo Wu. Na Solana, o bloqueio de 1,26 milhão de USDT ocorreu às 11h55, depois de 101 swaps em que o hacker vendeu tokens como DOG, RENDER, JUP e BONK por USDT, e a partir daí ele passou a trocar por USDC, de acordo com Wu. O congelamento de cerca de US$ 82 mil em USAT, na Ethereum, ocorreu às 12h42.

Às 12h06, Paolo Ardoino, CEO da Tether, informou o congelamento de mais de 4,5 milhões de USDT ligados ao caso.

A Paxos congelou PAXG e USDP às 11h28, inclusive 369 PAXG que o atacante já havia transferido para uma carteira nova. Até o momento em que a Bitquery consolidou os dados, os bloqueios somavam US$ 7,3 milhões, cerca de 15% do total.

A Circle começou a bloquear endereços vincluados ao hacker depois, a partir das 13h19, mostram os registros do contrato do USDC no Ethereum, consultados pelo WB3News no explorador Blockscout. Às 13h30, bloqueou a carteira 0x3ce76d…c779, que mantinha 2.236.100 USDC roubados. Wu registra também um bloqueio de USDC na Polygon.

Às 18h28, duas chamadas da função de bloqueio (blocklist) atingiram a carteira do atacante na Stellar, mostra levantamento do WB3News na API Horizon, a interface pública de dados da rede. Os 979.527 USDC e 10.468 EURC da conta passaram a constar como não autorizados pela emissora. Os 6,71 milhões de XLM da mesma conta, cerca de US$ 1,1 milhão, seguem livres, porque o token nativo da Stellar não dispõe da função de bloqueio.

Somados, os bloqueios de Tether, Paxos e Circle confirmados nos registros das blockchains chegam a cerca de US$ 10,5 milhões, sem contar o USDC na Polygon, cujo valor não foi especificado. Na atualização das 20h17, o MB atribui os US$ 11 milhões já bloqueados à ação conjunta com cinco parceiros:

"Em ação rápida com a comunidade cripto e parceiros estratégicos - incluindo Tether, Circle, Paxos, BRL1 e Chainalysis, já bloqueamos US$ 11 milhões. Outros valores passíveis de bloqueio já foram identificados e a contenção continua."

Em publicação no X, na noite de segunda-feira, a Paradigma destacou que o Mercado Bitcoin conseguiu congelar "mais ou menos 23% do que foi perdido":

"É um bom resultado pro 1° dia de resposta à crise. Na média, uma exchange que sofre um ataque desses recupera 3% das moedas [nas primeiras 24 horas]."

Hacker espalhou US$ 19,5 milhões em dez carteiras no Ethereum, segundo a Bitquery

A maior parte dos recursos drenados não saiu dos endereços de destino. Os 106,07 BTC seguem no endereço divulgado pelo MB no momento desta publicação, assim como os ativos Avalanche, XDC e Stellar. Na Polygon, os tokens estão parados porque o hacker não tem POL, o token usado para pagar as taxas da rede, segundo a Bitquery.

Na Ethereum, o hacker distribuiu US$ 19,5 milhões por dez carteiras novas até o fechamento dos dados da Bitquery. Seis delas receberam tokens separados em grupos, e a maior, com PEPE, AAVE, FET e INJ, entre outros, somava US$ 4,3 milhões, segundo Wu.

Os 2,24 milhões de USDC ficaram numa carteira própria, e o ETH foi dividido em três (2.930, 470 e 200 ETH). O endereço principal, divulgado pelo MB às 11h24, mantinha US$ 11,8 milhões, parte deles congelada. Pelo serviço de trocas Mayan, o atacante converteu recursos da Solana em cerca de US$ 1,15 milhão em ETH, e as pontes Chainflip e Mayan, que transferem ativos entre blockchains, levaram ao todo US$ 1,61 milhão em ETH para a Ethereum. A Relay recusou duas ordens do atacante. Na Tron, 1,71 milhão de TRX foi transferido para um endereço novo.

À noite, a carteira 0x59A9…731e recebeu 50 ETH do endereço principal às 20h21min59s, e mais 29 ETH e 2.900 ETH às 20h26 e às 20h28, vindos da carteira 0x8419…f320, que havia recebido 2.800 ETH às 9h07, segundo a Paradigma. Às 21h42, a carteira 0x7d40…e693, que havia recebido 470 ETH do endereço principal às 11h42, transferiu 469,99 ETH para um endereço novo (0x071F…9270). Um minuto antes, esse endereço havia recebido 199,9999 ETH da 0xcedf…1279, a terceira das carteiras de ETH, e passou a concentrar cerca de 670 ETH.

A Arkham contabilizou os movimentos da noite em US$ 8 milhões em ETH levados a novas carteiras. Até as 6h desta terça-feira (3), a carteira com os 2.979 ETH não registrava saídas, e os 106,07 BTC seguiam no endereço divulgado pelo MB, mostram os registros do Etherscan, do Blockscout e do mempool.space.

Linha do tempo do ataque

Horários de Brasília. Domingo é 1º de novembro; segunda-feira, 2 de novembro de 2026, salvo indicação.

• 23h15 (domingo): primeiras movimentações suspeitas, em endereços antigos de depósito em bitcoin (Hypernative).
• 3h19–3h53: bloco principal de transferências em pelo menos dez blockchains (Hypernative). As hot wallets pagam o atacante entre 3h24 e 3h50 (Bitquery).
• 3h27: a conta do atacante na Stellar é criada com recursos da hot wallet do MB (registros da Stellar).
• 3h41: transação de 104,43 BTC (mempool.space).
• 7h21: Tether congela USDT0 na Polygon (Bitquery).
• 8h37–8h38: Tether congela USDT na Tron e USDT e ouro tokenizado no Ethereum (Bitquery).
• 9h07: 2.800 ETH saem do endereço principal do atacante para a carteira 0x8419…f320 (Paradigma).
• 9h10: começa a varredura de endereços de depósito no Ethereum (Bitquery).
• 9h56: o MB anuncia que identificou e conteve o incidente e suspende depósitos e saques.
• 10h05: alerta da Hypernative, divulgado por Pablo Sabbatella, aponta mais de US$ 40 milhões.
• 10h10: o atacante troca 5.000 XLM por 837 USDC na Stellar (registros da Stellar).
• 11h18: a Paradigma publica sua análise, com US$ 45,1 milhões.
• 11h24: o MB divulga cinco endereços de destino, em EVM, Bitcoin, Solana, Stellar e Tron.
• 11h28: Paxos congela PAXG e USDP (Bitquery).
• 11h55: Tether congela 1,26 milhão de USDT na Solana (Bitquery).
• 12h06: Paolo Ardoino informa mais de 4,5 milhões de USDT congelados.
• 12h44: último registro de varredura de endereços de depósito na investigação da Bitquery.
• 13h00: a Bitquery publica a investigação, com US$ 48,5 milhões.
• 13h19: Circle começa a bloquear endereços do atacante no contrato do USDC no Ethereum (Blockscout).
• 13h30: Circle bloqueia a carteira com 2,24 milhões de USDC no Ethereum (Blockscout).
• 18h28: Circle bloqueia USDC e EURC na Stellar (registros da Stellar).
• 19h40: nota do MB à imprensa, publicada pela CNN Brasil, fala em US$ 11,2 milhões bloqueados.
• 20h17: o MB informa US$ 38 milhões em ativos envolvidos e US$ 11 milhões bloqueados.
• 20h21–20h28: carteira ligada ao atacante concentra 2.979 ETH (Etherscan).
• 21h41–21h42: carteiras do atacante com 200 ETH e 470 ETH enviam cerca de 670 ETH a um endereço novo (Etherscan e Blockscout).
• 22h19: e-mail do MB aos clientes informa cerca de US$ 11 milhões bloqueados e cerca de US$ 38 milhões ainda não bloqueados, e afirma que o incidente atingiu apenas as carteiras quentes.
• 3h25 de terça (3): Arkham informa que o atacante moveu US$ 8 milhões em ETH para novas carteiras e mantém US$ 46 milhões em criptoativos.
• 6h de terça (3): os 2.979 ETH e os 106,07 BTC seguem parados (Blockscout e mempool.space).

Porta de entrada do atacante segue desconhecida, segundo Hypernative e Bitquery

O ataque ao MB ocorreu quatro dias depois do hack de US$ 6,3 bilhões à Binance, que a TRM Labs e a Chainalysis atribuíram ao TraderTraitor, unidade hacker ligada ao Estado norte-coreano. No caso da Binance, a corretora apontou o notebook comprometido de um engenheiro como porta de entrada. Nem o MB nem a Hypernative estabeleceram associações entre os dois ataques.

A Bitso Brasil, parceira estratégica do MB no país, afirmou em comunicado, às 13h37 de segunda, que sua infraestrutura tecnológica e seus sistemas de custódia operam de forma independente dos do MB e que não identificou impacto na infraestrutura nem exposição de fundos da Bitso ou de clientes da Bitso Business. Os clientes pessoa física que migraram da Bitso para o MB, como parte da parceria no Brasil, têm contas e ativos administrados diretamente pelo MB, segundo a empresa.

A Hypernative e a Bitquery registram que o método de acesso do atacante não foi esclarecido, e o MB, que segue rastreando os ativos com autoridades e parceiros, não detalhou a falha. A Paradigma, que localizou a origem das transferências no software de construção de transações da corretora, aponta os fornecedores da infraestrutura de chaves como linha de investigação:

"Ainda não se sabe QUEM infiltrou os sistemas do MB, e nem COMO. Nosso instinto nos faz pensar que rolou algum xabu com provedores de serviço de custódia de chaves e assinatura..."

Em depoimento enviado ao WB3News, Leonardo Maximiliano, CEO e cofundador da DSEC Labs e da DominiPay, afirma que uma corretora concentra ativos e acessos, o que a torna alvo de alto valor para criminosos, e que, sem uma investigação técnica concluída, seria precipitado apontar a causa do incidente no MB:

"Entre os pontos que precisam ser apurados estão o comprometimento de credenciais, a exposição de chaves privadas e falhas nos processos de autorização de transferências. São hipóteses de investigação, não conclusões sobre o caso."

A plataforma do MB segue fora do ar desde a madrugada de segunda-feira, sem prazo de retomada informado até as 7h desta terça-feira, 3 de novembro.

Leia Também

• 'Maior hack da história': Binance estima US$ 6,3 bilhões em perdas e promete cobrir todo prejuízo
• DominiPay lança carteira autocustodial e avança com "Self Bank" sob novas regras do Banco Central
• "Ter as próprias chaves é diferente de saber protegê-las", diz executivo do Mercado Bitcoin após caso Ledger