Mercado Bitcoin, el mayor exchange de Brasil, suspendió depósitos y retiradas el lunes 2 de noviembre después de detectar que alguien había vaciado carteras en al menos diez redes distintas. La compañía sostiene que los fondos y los datos de sus clientes están a salvo, pero no ha publicado una cifra definitiva de pérdidas. Las estimaciones que circulan van de 40 millones de dólares, según los datos que maneja la propia firma, a los 46 millones que atribuye Arkham al atacante.
El episodio llega cuatro días después del robo de 6.300 millones en Binance y con el sector todavía digiriendo las consecuencias. La coincidencia temporal invita a leerlo como una segunda sacudida, aunque los dos casos tienen poco en común más allá del momento. Lo que sí comparten es el patrón de respuesta: primero se cierra la puerta, después se cuenta lo que falta.
Para un usuario brasileño, la pregunta inmediata es si su saldo está donde dice la pantalla. Para el resto del mercado, la pregunta es más incómoda: cuántos exchanges pueden demostrar hoy que sus carteras de diez redes están reconciliadas y que nadie puede mover fondos sin pasar por varios controles y por una revisión independiente. La respuesta, en la mayoría de los casos, es que nadie lo ha comprobado nunca.
Diez redes y una sola noche
El ataque no se limitó a una cadena. Los rastreadores hablan de carteras vaciadas en al menos diez redes distintas, lo que implica acceso a claves o a un sistema que las maneja de forma centralizada. Cuando un exchange opera con depósitos en muchas cadenas, la superficie se multiplica y la conciliación se complica, porque cada red tiene su ritmo y su propio modelo de confirmaciones.
Arkham agrupó 36 direcciones bajo el control del atacante con un total de 46 millones de dólares. Otras firmas de análisis señalan movimientos posteriores, entre ellos 2.800 ETH, 2,24 millones de USDC y 1,7 millones de TRX enviados hacia otros destinos. No es dinero parado mirando a ver qué pasa, es dinero en proceso de dispersión.
Ese movimiento rápido es la razón por la que las congelaciones importan. Tether bloqueó más de 4,5 millones de USDT vinculados al incidente, Circle congeló USDC en Polygon y Paxos hizo lo propio con oro tokenizado en Ethereum. Un investigador independiente sitúa el total inmovilizado cerca de 7 millones, una fracción pequeña del botín.
La cifra que no cuadra
La discrepancia entre 40 y 46 millones no es un detalle contable. Indica que la contabilidad del propio exchange no está cerrada o que las partes miden cosas distintas: lo que salió de las carteras, lo que ya se movió y lo que sigue en direcciones identificadas. En un incidente de este tipo, la cifra pública se convierte en un test de transparencia.
Mercado Bitcoin aseguró que los clientes no han sufrido pérdidas, una frase que puede significar dos cosas muy distintas. O la empresa cubre el agujero con su balance, o el agujero corresponde a fondos propios y no a depósitos de usuarios. Sin desglose, la afirmación es tranquilizadora y también incomprobable.
La comparación con Binance es inevitable y didáctica. El exchange global publicó una prueba de reservas con saldos verificables por cualquiera y cifras de salidas netas. Mercado Bitcoin ha optado por el silencio numérico, y en un mercado donde la confianza se mide en retiradas, el silencio tiene coste.
El rastro que ya no se puede borrar
La investigación on-chain avanza más rápido que cualquier comunicado. Las herramientas de análisis que siguen el dinero agrupan direcciones, detectan patrones de dispersión y marcan los saltos por mezcladores o puentes. En este caso, la ruta apunta a Ethereum y a otros ecosistemas, con congelaciones en varios puntos del camino.
El trabajo de trazabilidad tiene un límite conocido: los fondos que pasan por monederos de privacidad o por servicios sin control de identidad dejan de ser rastreables con precisión. Cuanto más tarda la respuesta, más probable es que una parte del botín desaparezca en ese punto ciego.
Por eso las primeras horas importan tanto. Un exchange que detecta el vaciado en minutos puede avisar a los emisores de stablecoins y a los principales puentes antes de que el dinero se disperse. Uno que tarda horas llega cuando ya hay docenas de saltos de por medio y la tarea se vuelve forense en lugar de preventiva.
Lo que el sector debería copiar de este caso
Hay una lección operativa que no depende del tamaño de la empresa. Las carteras con capacidad de mover fondos de clientes deberían tener límites por operación, aprobaciones distribuidas y un retardo obligatorio para importes altos. Un atacante con acceso a una clave no debería poder vaciar diez redes en una sola ventana.
La segunda lección es de higiene contable. Si un exchange no puede reconciliar sus saldos por red en tiempo real, no puede detectar un vaciado hasta que alguien lo nota por otra vía. La conciliación continua no es un lujo de auditoría, es el sistema de alarma más básico que existe.
La tercera es de comunicación. Publicar una cifra provisional con metodología vale más que esperar al número definitivo con un comunicado vacío. El mercado perdona un error de cálculo; lo que no perdona es la sensación de que le están ocultando el tamaño del problema.
La tentación al leer este caso es pensar que solo afecta a los grandes. Ocurre lo contrario. Un exchange mediano tiene menos personal, menos controles y una probabilidad mayor de que una sola persona concentre permisos sobre varias redes. La escala reduce el botín y no reduce el riesgo.
Hay tres medidas que no dependen del tamaño. La primera es separar las claves por red, de forma que comprometer una no abra las demás. La segunda es exigir varias aprobaciones para cualquier movimiento que supere un umbral, con al menos una persona que no esté en el turno de guardia.
La tercera es ensayar la respuesta. Un simulacro de vaciado enseña en una tarde lo que un manual no explica: quién avisa a los emisores de stablecoins, quién contacta con los puentes, quién habla con el regulador y quién escribe el comunicado. Sin ensayo, esas decisiones se toman a la vez y mal.
La confianza se retira antes que los fondos
La ironía del caso es que Mercado Bitcoin es el exchange que muchos brasileños usan para entrar al mercado, y su reputación se construyó sobre la idea de que el dinero estaba a resguardo. Un incidente así no destruye esa reputación de un día para otro, pero la erosiona en la misma moneda en la que se mide el negocio.
Los siguientes días traerán dos datos que importan. El primero es cuánto del botín se recupera, porque marca la capacidad del sector para reaccionar a tiempo. El segundo es cuánto dinero vuelve al exchange cuando reabra, porque mide la confianza real de sus usuarios, que suele ser más severa que cualquier análisis.
Mientras tanto, el mercado tiene una prueba más de que el eslabón débil no es la blockchain. Las diez cadenas funcionaron como debían. El fallo estuvo en el sistema que decía custodiar las llaves.
