El ataque informático contra Mercado Bitcoin, el mayor exchange de criptomonedas de Brasil, dejó pérdidas estimadas en casi US$ 49 millones y abrió interrogantes sobre la seguridad de sus sistemas. Los hackers lograron transferir criptomonedas desde billeteras de la plataforma a través de distintas redes blockchain, mediante operaciones que fueron procesadas como transacciones legítimas.
Ahora, los investigadores intentan determinar cómo consiguieron las autorizaciones necesarias para mover los fondos y por qué las transferencias continuaron incluso después de que la compañía anunciara que había contenido el incidente.
La empresa confirmó que el ataque ocurrió durante la madrugada del lunes 2 de noviembre de 2026 y que comprometió sus billeteras conectadas a internet, conocidas como hot wallets . En una actualización oficial, difundida esa misma noche, la compañía informó que había logrado inmovilizar aproximadamente US$ 11 millones en criptomonedas vinculadas al robo, impidiendo que los atacantes pudieran seguir moviéndolas. Otros US$ 38 millones permanecían sin bloquear y todavía podían ser transferidos.
La magnitud del ataque comenzó a conocerse a partir del seguimiento de las transacciones registradas públicamente en las distintas redes blockchain. Chainalysis, compañía especializada en el rastreo de criptoactivos que participó en las tareas de recuperación, calculó que el robo alcanzó unos US$ 49 millones.
En paralelo, Bitquery, otra firma de análisis blockchain, identificó transferencias por US$ 48,6 millones desde billeteras vinculadas con Mercado Bitcoin en diez redes diferentes. Su investigación también detectó movimientos posteriores desde miles de direcciones utilizadas por los clientes para depositar criptomonedas, lo que amplió las dudas sobre el verdadero alcance de la vulneración.
Índice de temas
Cómo se ejecutó el ataque y qué ocurrió con las billeteras
La reconstrucción de Bitquery indica que el grueso de las transferencias ocurrió durante la madrugada brasileña. En apenas 25 minutos, los atacantes consiguieron retirar activos de billeteras operativas vinculadas con Mercado Bitcoin en diez redes. Ethereum concentró la mayor parte de los movimientos, seguida por Bitcoin, mientras que el resto se distribuyó entre otras blockchains.
En Ethereum, por ejemplo, una de las billeteras principales del exchange transfirió inicialmente 2.852 ETH. Después salieron posiciones en USDT y USDC, dos criptomonedas diseñadas para mantener un valor cercano al dólar, y posteriormente numerosos tokens de menor tamaño. Según Bitquery, en esa red se movilizaron aproximadamente US$ 29,5 millones en 24 minutos.
La característica más importante de estas operaciones es que no se identificó públicamente una explotación de vulnerabilidades en contratos inteligentes como mecanismo del robo. Las transferencias se ejecutaron como operaciones convencionales, con autorizaciones criptográficas que las redes aceptaron como válidas. Esto no demuestra que las personas que las ordenaron estuvieran autorizadas por la empresa, sino que los sistemas blockchain recibieron las firmas necesarias para procesarlas.
Para entenderlo, cada billetera digital utiliza claves criptográficas que permiten autorizar el movimiento de los activos. Una clave privada funciona como una credencial de control: quien dispone de ella puede, en determinadas condiciones, transferir los fondos. Sin embargo, también existen sistemas empresariales que administran las firmas y las autorizaciones sin exponer directamente esas claves. Un atacante que consigue comprometer alguno de esos mecanismos puede llegar a ejecutar movimientos que la red considera técnicamente válidos.
Todavía no está determinado cuál de esas posibilidades explica el episodio de Mercado Bitcoin. Entre las hipótesis técnicas están el compromiso de claves privadas y el acceso indebido a sistemas internos capaces de autorizar operaciones. La empresa no publicó hasta ahora una reconstrucción forense que permita identificar el punto de entrada ni establecer qué controles fueron vulnerados.
Otro hallazgo de Bitquery amplió las dudas sobre el alcance del acceso conseguido. Según su análisis, el atacante no se limitó a vaciar las billeteras operativas principales: también pudo movilizar activos desde más de 36.000 direcciones de depósito en Ethereum, en operaciones que sumaron alrededor de US$ 266.000.
El análisis identificó movimientos de estas direcciones hasta aproximadamente cuatro horas después del primer comunicado oficial, en el que Mercado Bitcoin sostuvo que había contenido rápidamente el incidente. La firma también registró transferencias posteriores en BNB Chain. Aunque una parte importante de esas operaciones involucró saldos pequeños, el dato resulta relevante porque apunta a una capacidad de autorización más amplia que la correspondiente a una sola billetera.
Las direcciones de depósito son aquellas a las que los usuarios envían criptomonedas para acreditarlas en sus cuentas. Los exchanges suelen administrar numerosas direcciones y concentrar luego sus saldos en billeteras operativas. Por eso, si un atacante obtiene acceso al sistema encargado de firmar las transferencias desde esas direcciones, el problema puede extenderse a muchos más puntos de almacenamiento. Ese comportamiento permite identificar el alcance aparente del acceso, pero no demuestra por sí solo cómo fue obtenido.
Por qué pudieron mover los fondos y qué falló en los controles
El ataque pone el foco sobre una de las principales vulnerabilidades operativas de las plataformas centralizadas de criptomonedas: la necesidad de mantener una parte de los activos disponible para ejecutar depósitos y retiros de forma continua.
Mercado Bitcoin explicó que utiliza dos modalidades de almacenamiento. Una pequeña proporción de las criptomonedas permanece en billeteras calientes, conectadas a internet y utilizadas para las operaciones cotidianas. La mayor parte se conserva en billeteras frías, que permanecen fuera de línea y ofrecen una barrera adicional contra accesos remotos.
De acuerdo con la empresa, solamente el primer grupo resultó afectado. Esta distinción es importante porque permite delimitar el episodio: no implica que toda la infraestructura de custodia haya sido comprometida, aunque tampoco resuelve cómo se consiguieron las autorizaciones necesarias para retirar los activos.
En este tipo de infraestructura, la seguridad depende tanto de la protección de las claves como de los sistemas que deciden cuándo una operación puede ejecutarse. Los controles de acceso, las autorizaciones múltiples, los límites de transferencias y los mecanismos de detección de movimientos anómalos buscan reducir el riesgo de que una credencial comprometida permita vaciar una billetera.
Sin conocer la arquitectura interna de Mercado Bitcoin y los resultados de su investigación, no es posible establecer cuál de esos controles falló. Lo que sí permiten observar los registros públicos es que se produjo una sucesión de transferencias en numerosas redes durante un intervalo breve, seguida por movimientos adicionales desde direcciones de depósito.
Qué pasó con el dinero y cuánto se pudo recuperar
Las tareas de seguimiento comenzaron durante las primeras horas del ataque. Chainalysis informó que un directivo de Mercado Bitcoin se comunicó con sus especialistas y compartió una lista de transferencias no autorizadas. La empresa de análisis coordinó acciones con autoridades y emisores de criptomonedas para identificar direcciones y bloquear activos antes de que fueran convertidos o trasladados.
El trabajo permitió inmovilizar inicialmente varios millones de dólares en stablecoins. En su comunicación posterior, Mercado Bitcoin elevó el monto bloqueado a aproximadamente US$ 11 millones y señaló que continuaba identificando otras posiciones sobre las que podrían aplicarse medidas similares.
La posibilidad de bloquear activos depende de sus características. Los emisores de determinadas stablecoins pueden impedir que tokens específicos se transfieran desde una dirección identificada, mientras que criptomonedas descentralizadas como Bitcoin y Ether no cuentan con un emisor central que pueda congelarlas del mismo modo.
Esta diferencia explica por qué la recuperación de fondos robados puede resultar compleja incluso cuando los investigadores conocen las billeteras de destino. Además, bloquear criptomonedas no equivale necesariamente a haberlas recuperado o devuelto al propietario. Es una medida que puede impedir nuevos movimientos mientras continúan las investigaciones.
El análisis de Bitquery también identificó conversiones entre activos y desplazamientos hacia nuevas direcciones durante las horas posteriores. Estas operaciones dificultan el seguimiento y pueden formar parte de estrategias destinadas a dispersar los fondos, aunque las transacciones continúan siendo observables en las redes públicas.
Mercado Bitcoin mantiene su compromiso de que los clientes no perderán activos, pero todavía no detalló públicamente qué recursos financieros utilizará para absorber las pérdidas. La plataforma suspendió los depósitos y retiros durante la investigación y anunció que reanudará las operaciones cuando pueda confirmar que su infraestructura es segura.
Qué relación tiene con el ataque a Binance
El episodio brasileño ocurrió apenas cuatro días después del ataque sufrido por Binance el 29 de octubre, que involucró aproximadamente US$ 6.300 millones en criptomonedas y expuso problemas de seguridad vinculados con los sistemas utilizados para administrar las billeteras de un exchange.
En el caso de Binance, la investigación logró avanzar sobre el origen del acceso no autorizado. Según informó Reuters el 3 de noviembre, la plataforma reconstruyó una operación que comenzó meses antes del robo y que incluyó la instalación de software malicioso en equipos de desarrolladores. Los atacantes también utilizaron una entrevista laboral falsa para engañar a un ingeniero y conseguir acceso a sistemas internos.
El FBI atribuyó ese ataque a TraderTraitor, un grupo de ciberdelincuencia asociado con Corea del Norte. Sin embargo, no existe evidencia pública que permita vincular a los responsables del incidente de Binance con los de Mercado Bitcoin. La proximidad de ambos episodios tampoco demuestra que se haya utilizado la misma técnica.
La diferencia central es que, mientras Binance comenzó a reconstruir públicamente la secuencia de accesos que precedió al robo, Mercado Bitcoin todavía no explicó cómo se produjo la intrusión inicial. En el caso brasileño, las operaciones registradas permiten conocer buena parte del recorrido de los activos, pero no identifican el mecanismo utilizado para conseguir el control de las billeteras.
Por ahora, la investigación tiene dos objetivos: recuperar la mayor cantidad posible de fondos e identificar cómo se obtuvieron las autorizaciones que hicieron posible las transferencias. Resolver este último punto será fundamental para determinar si el ataque se originó en una exposición de credenciales, una falla de los sistemas internos o algún otro mecanismo todavía no identificado.
