In circa 25 minuti, nella notte tra il 1° e il 2 novembre, i portafogli operativi di Mercado Bitcoin hanno inviato fondi a un indirizzo sconosciuto su dieci reti diverse. L'attacco a Mercado Bitcoin, la principale piattaforma di cripto-attività del Brasile, è stato confermato dall'exchange la mattina stessa: depositi e prelievi sono sospesi, la società sostiene che clienti e dati non abbiano subito danni e non ha comunicato l'importo sottratto. Le stime esterne vanno da oltre 40 milioni di dollari, la prima indicazione di Hypernative, a 48,5 milioni secondo Bitquery. Sono valutazioni di terzi, non confermate dall'exchange.
Gaurav Agarwal
Abbiamo letto l'indagine on-chain di Bitquery, l'analisi di Arkham e gli articoli di The Record, Cointelegraph e Bitcoin Magazine. Per le comunicazioni di MB usiamo il testo riportato da InfoMoney, CNN Brasil ed Exame, per le regole del Banco Central la ricostruzione di Capital Aberto. I post di MB su X e l'articolo di Bloomberg non si sono aperti con i nostri strumenti: li citiamo attraverso le testate che li riportano. Ricostruiamo i fatti per fasi, con orari in UTC.
Fase 1: la preparazione e lo svuotamento
Secondo Arkham, l'attaccante ha fatto una prima transazione di prova su Base alle 01:22 UTC. Dickson Wu di CertiK, citato da Cointelegraph, scrive che per circa quattro ore ha sondato otto reti minori, tra cui Base, Optimism e Arbitrum. Bitquery colloca su queste reti un prelievo separato da circa 298.000 dollari, iniziato 53 minuti prima della prima uscita da Mercado Bitcoin.
Arkham
La fase principale, secondo Bitquery, va dalle 06:24 alle 06:50 UTC, cioè tra le 3:24 e le 3:50 ora di Brasília. In quei 25 minuti i portafogli caldi dell'exchange, quelli collegati alla rete per gestire i prelievi, hanno pagato l'attaccante su dieci blockchain. Su Ethereum sono usciti 2.852 ETH insieme a USDT, USDC e circa 185 altri token, per 29,7 milioni di dollari; su Bitcoin 106,07 BTC, di cui 104,43 in una sola transazione, per 8,3 milioni. Il resto si divide tra Solana, Stellar, Arbitrum, Tron, Polygon, Avalanche, XDC e BNB Chain. Le operazioni, secondo le società di sicurezza citate da Cointelegraph, sono normali trasferimenti firmati, non lo sfruttamento di un contratto intelligente.
Fase 2: i congelamenti degli emittenti
La prima risposta non è arrivata dall'exchange ma da chi emette le stablecoin. Secondo la cronologia di Bitquery, Tether ha bloccato USDT0 su Polygon alle 10:21 UTC, poi USDT su Tron ed Ethereum alle 11:37, su Solana alle 14:55 e la stablecoin USAT alle 15:42. Paolo Ardoino, amministratore delegato di Tether, ha parlato di oltre 4,5 milioni di USDT congelati, cifra ripresa da The Record e CNN Brasil. Paxos ha bloccato PAXG e USDP alle 14:28.
Le cifre complessive dipendono dall'orario. Bitquery conta circa 7,3 milioni congelati, il 15% del totale: 5,9 milioni da Tether e 1,5 da Paxos. Circle, all'ultimo controllo, non risultava aver bloccato nulla, e circa 4,3 milioni in USDC ed EURC potevano ancora muoversi. Cointelegraph, alle 16:42 UTC, parla di 6,2 milioni congelati da Tether e Circle. La capacità di bloccare i fondi è una delle differenze pratiche tra emittenti, come spiega il nostro confronto tra USDT e USDC. Tether, secondo Cointelegraph e Bitcoin Magazine, a luglio aveva investito 20 milioni di dollari in Mercado Bitcoin.
Fase 3: la comunicazione e gli indirizzi di deposito
Il primo post di MB su X è delle 12:56 UTC, le 9:56 a Brasília. Secondo il testo riportato da InfoMoney, l'exchange ha detto di aver «identificato e contenuto con rapidità» un incidente in uno dei suoi sistemi, che non ci sono stati danni ai clienti né fughe di dati e che depositi e prelievi erano sospesi in via preventiva. Alle 14:24 UTC un secondo post ha pubblicato gli indirizzi di destinazione su Bitcoin, reti compatibili con Ethereum, Solana, Stellar e Tron, per permetterne il tracciamento. CNN Brasil riporta che le squadre dell'exchange coordinano le misure «con le autorità competenti», senza indicarle.
Il punto più delicato riguarda gli indirizzi di deposito, quelli assegnati ai singoli clienti. Secondo Bitquery, dalle 12:10 UTC l'attaccante ha iniziato a svuotarli e alle 15:44 lo stava ancora facendo: 35.853 indirizzi su Ethereum, per circa 261.000 dollari, e 53 su Bitcoin. Bitquery ne deduce che l'attaccante possa firmare per qualsiasi indirizzo di deposito, perché di solito derivano da una sola chiave principale; è un'inferenza, non un dato on-chain. Gli esperti citati da The Record contestano su questa base la frase sull'assenza di danni ai clienti.
Fase 4: dove vanno i fondi
Arkham conta 287 swap dai portafogli dell'attaccante, usati per vendere token minori. Bitquery segnala passaggi attraverso i ponti Mayan e Chainflip per circa 1,6 milioni in ETH, mentre il servizio Relay ha rifiutato due ordini. Alle 16:42 UTC, secondo Cointelegraph, circa 20 milioni erano già stati spostati su portafogli nuovi e oltre 20 milioni restavano negli indirizzi segnalati da MB, compresi tutti i 106 BTC. Nessuna fonte attribuisce l'attacco a un gruppo preciso. Quando i fondi si distribuiscono su dieci reti, conta anche su quale rete circola una stablecoin, perché da questo dipende chi può bloccarla.
Cosa significa «nessun danno ai clienti»
Secondo Bloomberg, riportato da Bitcoin Magazine, MB ha detto che assorbirà tutte le perdite. Nella nostra lettura la frase dell'exchange va letta così: chi tiene cripto-attività su una piattaforma non possiede gli indirizzi, ma un credito verso la piattaforma, e se l'exchange copre l'ammanco i saldi restano intatti anche se la catena mostra indirizzi svuotati. La differenza tra le due forme di custodia è spiegata nella nostra guida su self-custody, exchange e wallet a confronto.
Nel frattempo i clienti non possono muovere i fondi e non c'è una data di riapertura. Cointelegraph ricorda che un'eventuale fuga di dati obbligherebbe a una notifica all'autorità brasiliana per la protezione dei dati. MB ha detto che aggiornerà i clienti attraverso i canali ufficiali: affidarsi solo a quelli è anche la prima difesa contro le truffe che imitano exchange e autorità. Chi vuole spostare i fondi su un portafoglio proprio alla riapertura può partire da come aprire un crypto wallet.
Il quadro regolatorio brasiliano
L'attacco arriva nella settimana in cui il nuovo regime del Banco Central entra nel vivo. Secondo Capital Aberto, le regole sulle società che offrono servizi in cripto-attività sono in vigore dal 2 febbraio. Il 30 ottobre scadeva il termine per presentare la prima fase della domanda di autorizzazione, condizione per continuare a operare durante l'esame. Exame scrive che MB ha presentato la domanda. Le regole chiedono la separazione tra fondi propri e dei clienti, strutture di governance e requisiti di sicurezza informatica per la custodia delle chiavi; i nuovi requisiti prudenziali arriveranno nel 2027. Nelle fonti lette non risultano commenti del Banco Central sull'attacco.
L'attacco a Mercado Bitcoin in sintesi
Cosa è confermato, cosa no
- Confermato: incidente in uno dei sistemi di MB nella notte del 2 novembre; depositi e prelievi sospesi; indirizzi di destinazione pubblicati; congelamenti di Tether e Paxos registrati on-chain.
- Non indicato: importo ufficiale, sistema compromesso, responsabili, data di riapertura. Le stime di 40-48,5 milioni sono di terzi.
- Da seguire: la riapertura e la copertura delle perdite, gli indirizzi di deposito ancora esposti, l'eventuale intervento del Banco Central.
La lettura più grande
Quattro giorni prima, il 29 ottobre, Binance aveva subito il più grande furto di cripto-attività mai registrato. Secondo Nextgov, TRM Labs lo stima in 6,36 miliardi di dollari e l'FBI lo attribuisce alla Corea del Nord. Nessuna fonte collega i due casi. È una nostra lettura che entrambi spostino l'attenzione dai contratti intelligenti alla sicurezza operativa: chiavi, portafogli caldi, accessi interni. Quando l'attaccante firma trasferimenti normali, la blockchain non ha nulla da segnalare come anomalo.
L'altra lezione riguarda chi ferma i fondi. Nelle prime ore la difesa più efficace è venuta dagli emittenti di stablecoin, con Tether in prima fila, e questo conferma quanto pesi oggi il ruolo di Tether tra stabilità e preoccupazioni: un potere utile in un attacco, che resta però concentrato in poche società. I segnali da seguire sono la data di riapertura, un importo ufficiale e la reazione del Banco Central a pochi giorni dalla scadenza delle autorizzazioni.
