El 2 de noviembre, unos delincuentes sacaron activos de las hot wallets de Mercado Bitcoin, el exchange de criptomonedas más antiguo y grande de Brasil, en diez redes blockchain a la vez. Las estimaciones del daño van de 30 a 49 millones de dólares. El exchange suspendió depósitos y retiros y no dice cuándo los reanudará. En la mañana del 3 de noviembre, la plataforma seguía en mantenimiento.
Mercado Bitcoin opera desde 2013 y se presenta como el primer bróker cripto del país. Según la fuente, tiene entre 4,5 y 4,8 millones de clientes. El 27 de octubre solicitó una licencia al Banco Central de Brasil. En julio, Tether se convirtió en accionista minoritario de su holding, 2TM.
Cómo ocurrió
Según AuditKey, la preparación empezó ya el 1 de noviembre hacia las 21:20, hora de Moscú. La primera transferencia salió a las 04:36 en la red Arbitrum. Después, como describe Dixon Wu, analista de CertiK, el atacante pasó unas cuatro horas probando montos pequeños en redes menores. La retirada principal duró alrededor de media hora, de 09:19 a 09:53: las hot wallets quedaron vacías en diez redes, entre ellas Bitcoin, Ethereum, Solana, Stellar, Tron y Avalanche.
No hubo vulnerabilidades en contratos inteligentes. Fueron transferencias normales, firmadas con claves válidas del exchange. No se sabe cómo obtuvo el atacante el derecho de firma. AuditKey subraya que la blockchain no permite distinguir un ataque externo de la acción de alguien de dentro o de un fallo en un proveedor.
«Contenido», mientras los retiros continuaban
A las 15:56, hora de Moscú, Mercado Bitcoin informó de que un incidente en «uno de sus sistemas» había sido detectado y contenido rápidamente, de que los clientes no perderían nada y de que no se habían filtrado datos. En la blockchain pasaba otra cosa. Según el recuento de Bitquery, de 15:27 a 19:56 el atacante vació 36 042 direcciones de depósito de clientes en Ethereum y barrió otras 143 en BNB Chain hasta las 21:08. Es decir, siguió sacando fondos unas cuatro horas después del comunicado del exchange.
La suma aquí es pequeña, unos 266 000 dólares: el 91 % de esas direcciones tenía menos de 10 dólares. Lo importante es otra cosa. El atacante tenía las claves no solo de las hot wallets, sino también de las direcciones con las que los clientes recargan su cuenta. «Quien hizo esto también puede retirar desde las direcciones de depósito de los clientes», dice Wu. Investigadores consultados por The Record cuestionan la afirmación del exchange de que los fondos de los clientes no se vieron afectados. Formalmente, el exchange tiene razón: las monedas de las direcciones de depósito las custodia él, y el cliente solo tiene un saldo anotado. Pero precisamente por eso todo depende de que cumpla su promesa.
Cuánto se llevaron: de 30 a 49 millones de dólares
- AuditKey: 30,3 M$, contando solo tokens con un precio fiable.
- Hypernative: más de 40 M$ en al menos diez redes.
- Bitquery: 48,6 M$; sin el token EVA, 47,4 M$.
- Chainalysis, a la que el exchange pidió ayuda: unos 49 M$ en 17 redes. Según Bitquery, esas 17 incluyen redes por las que se movió dinero de billeteras ajenas, mientras que las pérdidas del propio exchange se dieron en diez.
En su actualización de la noche, el propio Mercado Bitcoin dio dos cifras: unos 11 M$ bloqueados y unos 38 M$ «aún no bloqueados». En total, unos 49 M$. Algunos medios presentaron los 38 M$ como la pérdida total. En realidad, es solo la parte sin congelar. Según Hypernative, entre lo robado hay 106 BTC, 2852 ETH, 10 700 SOL, 6,7 millones de XLM, 1,7 millones de TRX y más de doscientos tokens adicionales. Según Bitquery, los bitcoins aún no se han movido.
La congelación: esta vez ayudó
Tether hizo el primer bloqueo a las 13:21, hora de Moscú, y Circle se sumó unas seis horas después. Bitquery contabilizó 11,4 M$ congelados: 5,9 M$ en Tether, 3,9 M$ en Circle, 1,5 M$ en Paxos y unos 145 000 dólares en Agora y Ripple. Otros 358 000 EURC seguían sin congelar. Chainalysis da otras cifras: casi 10 M$, de ellos más de 9 M$ en Tether. Por ahora, estos datos no cuadran entre sí.
Aquí la congelación jugó a favor de los afectados. Pero es el mismo botón: un emisor puede bloquear USDT o USDC en cualquier dirección, también en la suya, y la decisión es solo suya. Nadie puede congelar BTC, ETH, SOL ni XLM, y por eso el atacante cambió tranquilamente la mayor parte del botín a través de los servicios de intercambio Mayan y Bridgers.
Una promesa sin respaldo
El exchange repite que los clientes no perderán nada. De dónde saldrá el dinero y en qué plazo, no lo dice: ni una palabra sobre reservas, seguros o accionistas. Los retiros volverán «cuando sea seguro». Hasta la mañana del 3 de noviembre, el Banco Central de Brasil, la Comisión de Valores y la Policía Federal no se habían pronunciado públicamente. El exchange advierte aparte sobre estafadores que ofrecen «ayudar a recuperar los fondos». Si usted es cliente de Mercado Bitcoin, no responda a esas ofertas y no envíe nada a las direcciones de depósito antiguas hasta que el exchange anuncie que son seguras.
Preguntas abiertas
- ¿Cómo obtuvo el atacante el derecho de firma: a través de las claves, el sistema de firma, un empleado o un proveedor?
- ¿Por qué el exchange dio el ataque por contenido si los retiros desde direcciones de clientes siguieron otras cuatro horas?
- ¿Se han cambiado las claves de las direcciones de depósito y se puede volver a recargar la cuenta con los datos antiguos?
- ¿Con qué dinero cubrirá el exchange los 38 M$ sin congelar?
- ¿Cuándo y en qué orden se reanudarán los retiros?
- ¿Cuál es la cifra final y cuántas redes se vieron afectadas: diez o diecisiete?
Qué se desprende de esto
El saldo en un exchange es una promesa del exchange. Mientras los retiros estén cerrados, sus monedas existen solo como una fila en su base de datos, y usted recuperará el acceso cuando él lo decida. Mantenga en el exchange lo que use para operar y el resto en una billetera cuyas claves solo tenga usted. Tenga en cuenta, eso sí, que el emisor puede congelar stablecoins incluso en su propia billetera.
Para contexto: tres días antes, Chainalysis informó de un hackeo de sus propios sistemas; es la misma empresa que ahora ayuda a Mercado Bitcoin a rastrear lo robado.