Mercado Bitcoin gèle les retraits après vidage multi-chaînes de 40 M$

La principale plateforme crypto brésilienne, Mercado Bitcoin, a suspendu dépôts et retraits le lundi 2 novembre 2026 après que la firme de sécurité Web3 Hypernative a signalé plus de 40 millions de dollars de transferts sortants suspects, répartis sur au moins dix blockchains. Le fondateur de Tether, Paolo Ardoino, confirme que Tether a gelé plus de 4,5 millions d'USDT liés à l'incident. Sources primaires : Journal du Coin, Cryptoast, Cointribune. L'exchange a publié des adresses de destination sur EVM, Bitcoin, Solana, Stellar et Tron, mais n'a confirmé ni montant total ni point d'entrée.

Ce qu'il s'est passé

Mercado Bitcoin indique dans son communiqué, relayé par les trois sources francophones, avoir « rapidement identifié et contenu » un incident de sécurité sur l'un de ses systèmes, et avoir « temporairement suspendu » dépôts et retraits par mesure de précaution. La plateforme affirme qu'aucun client n'a été lésé et qu'aucune fuite de données n'a eu lieu ; les chiffres on-chain restent ceux des firmes de sécurité, pas ceux de l'entreprise.

Hypernative chiffre le préjudice à plus de 40 millions de dollars. Pablo Sabbatella (Opsek) détaille les avoirs de l'attaquant, repris par Journal du Coin : environ 2 852 ETH, 106 BTC sur sept transactions, 10 700 SOL, 6,7 millions de XLM, 77 000 AVAX, et plus de 200 autres jetons. Les chaînes nommées sont Ethereum, Bitcoin, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain et Stellar, pour un total d'au moins dix. Cointribune donne un ordre de grandeur légèrement plus large de 45 millions de dollars sans détailler.

Les mouvements principaux se concentrent, selon Hypernative repris par Journal du Coin, dans une fenêtre d'environ 34 minutes le lundi matin, avec des balayages d'adresses de dépôt Bitcoin démarrés plus tôt dans la nuit. L'exchange a publié des adresses de destination environ 90 minutes après son communiqué pour que d'autres plateformes puissent tracer les fonds ; nous ne reproduisons ni adresse ni hash de transaction que nous n'avons pas vérifiés nous-mêmes.

Mécanisme — transferts ordinaires signés par les clés légitimes

Hypernative, cité par Journal du Coin, décrit des « transferts ordinaires » signés par les clés privées légitimes de la plateforme, pas un exploit de contrat intelligent. L'attaquant dépense depuis les wallets propres de Mercado Bitcoin, sans vulnérabilité applicative : la question ouverte est comment il a obtenu l'accès de signature. Mercado Bitcoin n'a pas communiqué sur ce point.

Cette signature opérationnelle — balayages multi-chaînes depuis les hot wallets d'une plateforme centralisée en fenêtre courte — est la même que celle du compromis Binance du 29 octobre, que le FBI a attribué au groupe nord-coréen TraderTraitor. Les sources francophones ne lient pas formellement les deux incidents on-chain ; aucun acteur n'a revendiqué, et nous ne pré-attribuons pas sans élément formel.

Impact et gels

• Tether (USDT) : Paolo Ardoino annonce avoir gelé plus de 4,5 M USDT liés à l'incident.
• Service : dépôts et retraits suspendus, aucune date de reprise annoncée.
• Fonds utilisateurs : la plateforme déclare qu'aucun client n'a été lésé ; le total signalé on-chain reste le détenu de l'attaquant après balayage, pas une perte confirmée par Mercado Bitcoin.

Bloc de chiffres, d'après Opsek via Journal du Coin (non confirmés par Mercado Bitcoin) :

• Transferts sortants suspects : plus de 40 M$
• Chaînes touchées : ≥ 10 (ETH, BTC, SOL, TRON, XLM, AVAX, Polygon, Arbitrum, BNB Chain, Stellar)
• Avoir ETH de l'attaquant : ~2 852 ETH
• Avoir BTC de l'attaquant : ~106 BTC sur 7 transactions
• Avoir SOL de l'attaquant : ~10 700 SOL
• Avoir XLM de l'attaquant : ~6,7 M XLM
• Avoir AVAX de l'attaquant : ~77 000 AVAX
• USDT gelés par Tether : >4,5 M USDT

Que surveiller

1. Le post-mortem de Mercado Bitcoin : point d'entrée (compromis de clés privées vs. intrusion applicative), architecture hot wallet, répartition avec un éventuel assureur de cold storage.
2. La liste d'adresses : une fois publiée formellement, les autres venues pourront matcher les dépôts entrants et geler à vue.
3. Les gels au-delà de Tether : Circle (USDC), autres émetteurs de stablecoins, exchanges avec équipes analytics on-chain. Les 24 heures qui suivent la publication d'adresses sont la fenêtre où les fonds custodiaux sont encore à l'adresse de l'attaquant.
4. La date de reprise des retraits : non communiquée.
5. Toute attribution formelle (FBI, police fédérale brésilienne, OFAC) : à la date de rédaction, il n'y en a pas.

Contexte — motif sur les clés de signature des hot wallets d'exchanges

Cinq jours après le compromis à 6,3 milliards de dollars de Binance, un deuxième exchange majeur voit ses hot wallets vidés dans une fenêtre de 34 minutes sans exploit de contrat. Dans les deux cas, l'attaquant dépense depuis les clés de signature propres de la plateforme, sans franchir une vulnérabilité applicative. La custody des clés de signature hot wallet — le lien opérationnel entre la stack admin interne et le pouvoir de dépense on-chain — est la surface exposée que les deux plus gros incidents de l'automne ont en commun. Le triage de Mercado Bitcoin dira si c'est le même adversaire ou un copycat avec le même mode opératoire.