*Atualização às 11h30 de quarta-feira, 4: inclui novos dados da Arkham sobre as vendas do hacker.
O hacker que drenou US$ 49 milhões de carteiras do Mercado Bitcoin (MB) em 2 de novembro de 2026 retomou a venda dos ativos roubados, agora com as altcoins guardadas no Ethereum. Carteiras intermediárias do hacker venderam os tokens por US$ 10,55 milhões em ETH, informou a Arkham Intelligence, plataforma de rastreamento de blockchain, em atualização publicada no X às 11h desta quarta-feira (4).
Segundo a Arkham, o hacker concentra o ether num endereço que somava cerca de 1.275 ETH na manhã desta quarta. O valor, que equivale a cerca de US$ 2,95 milhões, de acordo com dados da CoinGecko, foi confirmado por mostra levantamento do WB3News no explorador Blockscout.
O hacker já havia vendido parte dos ativos na segunda-feira. Na Solana, fez 101 trocas de tokens como DOG, RENDER, JUP e BONK por USDT, segundo Dickson Wu, engenheiro sênior de segurança da Certik. Na Stellar, trocou 5.000 XLM por 837 USDC. Os 106,07 BTC drenados do MB e os 2.979 ETH concentrados numa carteira ligada ao hacker seguem parados, mostram os registros públicos das blockchains conferidos nesta quarta pela reportagem do WB3News.
Nas 24 horas anteriores ao balanço da Arkham, US$ 13,26 milhões em tokens diversos saíram das carteiras vinculadas ao hacker para 23 endereços externos, 22 deles novos, em 115 transferências. Os tokens foram vendidos em seguida, segundo a análise.
As maiores vendas foram de PEPE, com US$ 1,82 milhão, AAVE, com US$ 1,65 milhão, e VIRTUAL, com US$ 1,14 milhão, de acordo com a Arkham. Os três tokens estavam entre os maiores ativos levados do MB no Ethereum, segundo o levantamento de Cauê Oliveira. A Arkham também informou que uma conversão de US$ 650 mil para bitcoin pela Bridgers, serviço de troca de ativos entre blockchains, parece ter sido interrompida.
Já o total de criptoativos bloqueados no momento é de US$ 11,12 milhões, segundo a análise: US$ 3,06 milhões de USDT de US$ $2,25 milhões de USDC na Ethereum; US$ 1,49 milhões de PAXG na Ethereum; US$ 1,26 milhões de USDT na Solana e US$ 708 mil USDT na Tron; US$ 708 mil USDC na Polygon e US$ 1,64 milhões de USDT0, XAUT, KAG, KAU e seis outros tokens.
Na Ethereum, saíram US$ 29,71 milhões dos US$ 48,5 milhões levados do MB, pela contagem da Bitquery, empresa de dados de blockchain. Depois do ataque, as altcoins ficaram paradas na rede. Na terça-feira (3), US$ 11,1 milhões seguiam no endereço que recebeu os fundos drenados, e outros US$ 10,8 milhões estavam espalhados por oito carteiras novas, segundo levantamento do analista de dados on-chain Cauê Oliveira. O ether, cerca de US$ 6,5 milhões, foi integralmente sacado do endereço.
Mais cedo, a Arkham havia informado que o hacker havia transferido 31 altcoins diferentes ao endereço 0x8482…317e e vendido todas por US$ 316 mil em ETH. Segundo a plataforma, ele continuava a mover e vender altcoins por meio desse endereço. A Arkham também contabilizou US$ 1,1 milhão em VIRTUAL, token do Virtuals Protocol, levados a um endereço novo e vendidos em lotes de US$ 20 mil. Naquele horário, o hacker ainda tinha US$ 1 milhão no token, segundo a plataforma.
O endereço 0x8482 registrava 18 transações de transferência, aprovação e troca entre 8h36 e 8h57 desta quarta, mostram os registros do Blockscout. O endereço que concentra o ether começou a receber recursos às 15h46 de terça.
Desde a noite de segunda-feira, carteiras do hacker vem recebendo transações de endereços que repetem os primeiros e os últimos caracteres de endereços com que ele operou, mostra levantamento do WB3News. O envio tem o padrão característico do envenenamento de endereço (address poisoning). Nesse golpe, robôs geram endereços parecidos com os de uma carteira conhecida e mandam pequenas quantias à vítima, para que o endereço falso apareça no histórico e seja copiado por engano numa transferência futura.
Às 20h21min59s de segunda, o endereço principal do hacker enviou 50 ETH à carteira 0x59A919e8…731e. Pouco mais de dois minutos depois, às 20h24min23s, o endereço 0x59A9dad5…2731E, com o mesmo começo e o mesmo fim, mandou 1 gwei, uma fração mínima de ether, ao endereço principal. Até as 22h53, o mesmo endereço enviou mais 29 transações de 1 gwei à carteira 0x8419…f320, outra vinculada ao hacker, aquela que havia transferido 2.900 ETH à carteira verdadeira às 20h28.
Entre 17h38 e 19h04 de segunda, imitações das carteiras 0x8419…f320 e 0x7d40…e693 já haviam enviado ao endereço principal transações de valor zero ou de 0,000001 ETH. O endereço que concentra o ether das vendas recebe imitações desde terça. A partir das 15h49, dezenas de transações chegaram de endereços que começam com 0xdce7 e terminam em 9742.
Em publicação no X na noite de terça, 3, Cauê Oliveira reconstruiu o ataque transação por transação no Ethereum e no Bitcoin. Segundo ele, são as duas redes em que o caso pode ser auditado de fora. De acordo com a investigação do analista, saíram US$ 37,9 milhões das duas redes na madrugada de 2 de novembro.
Na Binance, uma autorização do tipo EIP-7702, padrão do Ethereum que permite a uma carteira delegar o controle a um contrato inteligente, fez a conta executar código de terceiros. Por isso, 64 ativos foram sacados numa única chamada, segundo Cauê. A contagem bate com a da TRM Labs, de 167.464 ETH e outros 63 tokens numa só transação. No hack do MB, os endereços envolvidos não tinham contrato associado, e a própria carteira quente da corretora assinou 194 transações para 191 ativos em 24 minutos, em sequência contínua, de acordo com o analista.
No Blockscout, a carteira quente do MB na Ethereum aparece como conta comum, sem contrato nem delegação. A primeira saída para o hacker foi de 0,0001 ETH, às 3h24min23s. A segunda, de 2.852,07 ETH, saiu às 3h24min47s, 24 segundos depois, mostram os registros conferidos pelo WB3News. "Testaram a chave antes de usar", escreveu Cauê, que faz uma distinção entre os dois casos à perda de uma procuração e à perda da chave:
"No primeiro caso o dono ainda tem a chave e autorizou algo que não entendeu. No segundo, a chave simplesmente passou a estar também em outras mãos."
O analista classifica o levantamento como preliminar, feito apenas com dados públicos, e registra que o MB ainda não informou a autoria do ataque nem apresentou uma análise técnica do caso. A Paradigma Education aponta sinais de que as transferências partiram do próprio sistema que a corretora usa para construir transações, conforme noticiado pelo WB3News.
A varredura de endereços de depósito de clientes, que a Bitquery registrou entre 9h10 e pelo menos 12h44 de segunda, tem sinais de ter continuado à tarde. Às 14h05min47s, centenas de endereços diferentes enviaram transações de valor zero ou de 1 gwei ao endereço principal do hacker, num único bloco da rede, o 26.328.478, mostra levantamento do WB3News no Blockscout.
Pelo menos um desses endereços já havia enviado uma transação ao hacker às 9h47, no período da varredura. Os últimos registros verificados pelo WB3News ocorreram mais de quatro horas depois do comunicado oficial do MB que anunciou a contenção do incidente.
O levantamento considera só as entradas no endereço principal. Ele não identifica a origem do saldo desses endereços nem transferências apenas de tokens. Entre 14h18 e 20h34, o endereço principal recebeu oito transações, nenhuma no padrão da leva encerrada às 14h05.
A plataforma do MB segue pausada, sem data de retorno, segundo a última atualização da corretora . Na terça, o MB informou ter congelado US$ 12,9 milhões dos ativos roubados e disse que a retomada das operações será gradual, por funcionalidade, à medida que cada uma passar pelas verificações de segurança.
Em vídeo publicado no X às 22h47 de terça, Lucas Lopes, CEO do MB, reconheceu que os clientes não conseguem acessar o aplicativo nem movimentar os ativos e chamou a situação de "angustiante". Ele afirmou que a empresa suspendeu o acesso às plataformas assim que tomou conhecimento do incidente e notificou as autoridades competentes:
"Desde então, nosso time vem trabalhando incansavelmente para restabelecer nossas operações, revisitando todos os ambientes, olhando linha a linha de código, até que a gente tenha certeza que o ambiente está 100% seguro para você voltar a operar conosco."
