Piratage de Mercado Bitcoin : réouverture en lecture seule lundi, tandis que Nubank et Mercado Pago accusent des prestataires pour des transferts crypto gelés

Mercado Bitcoin, la plus grande plateforme d’échange crypto du Brésil, rouvrira son site lundi 9 novembre, mais seulement pour consulter les soldes. Retraits, dépôts et trading restent fermés une semaine après le piratage de Mercado Bitcoin du 2 novembre, que des traqueurs extérieurs chiffrent entre 40 et 48,6 millions de dollars. La société promet de rembourser chaque client et de racheter avec ses propres fonds ce qu’elle ne récupérera pas. Par ailleurs, vendredi 6 novembre, la banque numérique Nubank et l’application de paiement Mercado Pago ont gelé les transferts crypto vers et depuis des portefeuilles externes, chacune invoquant un prestataire qu’elle n’a pas nommé.

Ce sont deux événements distincts. Aucune entreprise, aucun enquêteur ni aucun média dont nous avons lu les articles ne les dit liés, et nous les traitons séparément. Le piratage est confirmé par Mercado Bitcoin lui-même. Les gels sont confirmés par les deux sociétés, mais pas leur cause : les affirmations en ligne selon lesquelles un dépositaire ou une société d’analyse de la blockchain aurait été piraté restent sans preuve.

Piratage de Mercado Bitcoin : ce qui s’est passé le 2 novembre

La plateforme, MB en abrégé, a annoncé l’incident sur X lundi 2 novembre. « Nous avons identifié et rapidement contenu un incident de sécurité dans l’un de nos systèmes tôt ce matin », a-t-elle écrit, selon The Block (notre traduction). Elle a suspendu dépôts et retraits « par mesure de protection préventive », d’après Decrypt, et affirmé que les clients n’avaient subi aucune perte et qu’aucune donnée n’avait fuité. Elle a ensuite publié les adresses vers lesquelles les fonds avaient été envoyés, sur les réseaux EVM, Bitcoin, Solana, Stellar et Tron, afin que les sociétés de sécurité et les émetteurs de jetons puissent les suivre.

Le mot « contenu » est désormais contesté. La société d’analyse Bitquery, dans des conclusions rapportées par CoinDesk Brasil le 5 novembre, affirme que l’attaquant a vidé 36 042 adresses de dépôt de clients sur Ethereum entre 12 h 27 et 16 h 56 UTC le 2 novembre. MB a déclaré l’incident contenu à 12 h 56 UTC. Selon la chronologie de Bitquery, le pillage s’est donc poursuivi environ quatre heures après cette déclaration. Ces adresses de dépôt Ethereum ne contenaient qu’environ 266 000 dollars au total, d’après le même rapport : l’essentiel du vol est venu d’ailleurs. MB n’était pas joignable pour commenter, précise CoinDesk.

Emmett Gallic, analyste chez Arkham, a indiqué que l’attaquant ratissait les fonds d’anciennes adresses de dépôt et vendait des memecoins et d’autres altcoins, rapporte The Block. Fabrício Tota, vice-président chargé des nouvelles activités de MB, a expliqué dans une vidéo diffusée le 5 novembre, relayée par BitNotícias, que la plupart des fonds détournés se trouvaient dans des hot wallets, ces portefeuilles en ligne qu’une plateforme utilise pour les retraits quotidiens. MB en garde environ 5 % de ses actifs, a-t-il dit, et les portefeuilles froids n’auraient pas été touchés. L’entreprise n’a pas expliqué comment l’attaquant avait pénétré ses systèmes.

Pour ceux qui découvrent la conservation sur une plateforme : un exchange centralisé détient les cryptos de ses clients dans des portefeuilles qu’smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il contrôle, surtout hors ligne (froids) et en partie en ligne (chauds) pour la rapidité. Le solde d’un client est une créance sur la plateforme, pas des coins dans un portefeuille à lui. Notre guide sur le fonctionnement d’un exchange centralisé, du KYC à la conservation explique le montage et pourquoi le piratage du côté « chaud » peut bloquer tout le monde.

Combien a été volé : quatre estimations et les chiffres de l’entreprise

Personne ne s’accorde sur l’ampleur exacte du piratage de Mercado Bitcoin, et MB n’a jamais donné de total unique. Chaque chiffre ci-dessous vient d’une société différente, arrêté à un moment différent.

Le détail d’Arkham, tel que ventilé par CryptoSlate, comprenait environ 8,37 millions de dollars en ether, 8,24 millions en bitcoin et 1,76 million dans le memecoin PEPE. Additionnés, les deux chiffres de MB donnent environ 49 millions de dollars, proche de celui de Bitquery. Cette somme est de notre fait ; MB ne l’a pas donnée. Tota a décrit la part encore détenue par l’attaquant comme « plus ou moins 3 % de notre conservation totale » (notre traduction de « mais ou menos 3% da nossa custódia total »).

Gelé n’est pas récupéré : Tether, Circle et les autres émetteurs

La réponse la plus rapide est venue des émetteurs de stablecoins, qui peuvent mettre sur liste noire les adresses détenant leurs jetons. « Tether a gelé plus de 4,5 M d’USDT liés à cet incident de sécurité », a écrit sur X le directeur général de Tether, Paolo Ardoino, le 2 novembre, selon Decrypt (notre traduction). Tether n’est pas un acteur neutre : l’entreprise a annoncé en juillet 2026 un investissement stratégique de 20 millions de dollars dans MB, note CryptoSlate. Notre page sur Tether, ses réserves et son historique de gels explique le fonctionnement de ces listes noires.

L’analyste on-chain Specter, cité par CryptoSlate, a compté plus de 9 millions de dollars (le chiffre exact est 9,17 millions) immobilisés sur neuf actifs, dont l’USDC, le jeton adossé à l’or PAXG et le RLUSD de Ripple. CoinDesk Brasil indique que des partenaires, dont Tether, Circle et Chainalysis, ont aidé à geler plus de 15 millions de dollars. Tota a situé le montant bloqué au-dessus de 16 millions et cité Tether, Circle, Paxos, Stellar et Chainalysis parmi les sociétés qui ont aidé.

Un gel empêche l’attaquant de déplacer ces jetons. Il ne les remet pas dans la conservation de MB, et aucune source ne dit quand, ni si, les sommes gelées seront restituées à la plateforme.

La promesse de Mercado Bitcoin de couvrir les pertes des clients

MB s’est engagée le 3 novembre à couvrir toutes les pertes des utilisateurs, a rapporté CoinDesk Brasil. Un jour plus tard, la plateforme a dit à Cointelegraph Brasil que sa table de trading préparait les rachats nécessaires « sur les marchés national et international » (notre traduction), en s’appuyant sur sa trésorerie et sur l’investissement de Tether.

Dans sa vidéo du 5 novembre, Tota est allé plus loin. Le plan de rachat « est déjà en cours d’exécution », a-t-il dit, et « tout le solde en actifs des clients qui étaient ici au moment de l’incident sera honoré » (notre traduction, rapportée par BitNotícias). Ce que MB ne peut pas récupérer, elle dit le racheter avec ses fonds propres. Elle n’a pas précisé combien elle dépenserait, quelles cryptos elle achèterait en premier ni quand la reconstitution serait terminée. BitNotícias ajoute que plus de 300 salariés travaillent sur l’enquête, la récupération et le redémarrage, et que, selon Tota, MB a levé plus de 300 millions de dollars lors de ses tours de financement.

C’est une promesse, pas un résultat vérifié. Aucun auditeur ni aucun régulateur n’a dit publiquement que les réserves de MB couvrent les soldes des clients après le vol.

Ce que les clients de Mercado Bitcoin pourront et ne pourront pas faire dès lundi

La reprise se fait en deux temps, selon BitNotícias (6 novembre) et Cointelegraph Brasil (4 novembre).

• À partir de lundi 9 novembre, les clients peuvent se connecter au site de MB et consulter leurs soldes, relevés, actifs et placements. Les chiffres reflètent les positions telles qu’elles étaient avant l’incident.
• Les retraits restent suspendus dans cette première phase, ainsi que les dépôts et le trading.
• Dans une seconde phase, le trading, les dépôts et les retraits de cryptos et de reais reviennent progressivement, par groupe d’actifs et par réseau blockchain, une fois les procédures de sécurité et les tests de sécurité indépendants terminés. Aucune date n’a été donnée.

« Lundi prochain, nous commençons ce processus », a dit Tota dans la vidéo (notre traduction). La plateforme a indiqué qu’elle publierait ses mises à jour sur X, selon Decrypt. Tant qu’elle n’aura pas confirmé que tel réseau est de nouveau ouvert, les clients n’ont aucun moyen de sortir leurs coins de MB.

Qui est derrière l’attaque : aucun groupe nommé

MB n’a pas dit qui était derrière l’attaque, et aucun enquêteur n’a nommé de groupe. Les enquêteurs n’ont établi aucun lien avec TraderTraitor, le groupe nord-coréen que le FBI a désigné pour le vol de Binance fin octobre, rapporte CryptoSlate, et MB n’a pas relié son incident à celui de Binance, selon Decrypt. Une autre plateforme pourrait avoir été touchée par les mêmes mains. Sheldon Xia, fondateur de BitMart, a déclaré que BitMart avait été piratée le 2 novembre et que son enquête préliminaire désignait le groupe à l’origine de l’attaque contre MB, a rapporté CoinDesk Brasil. Bitquery affirme que le même attaquant a pris environ 391 000 dollars, surtout dans des portefeuilles qu’elle associe à BitMart ; BitMart n’a pas confirmé cette attribution.

MB dit travailler avec « les autorités » et des sociétés spécialisées. Aucune des sources que nous avons lues ne nomme d’agence, et nous n’avons trouvé aucune déclaration de la Banco Central do Brasil, du régulateur des marchés CVM ou de la Police fédérale sur cet incident.

Nubank et Mercado Pago gèlent les transferts crypto et accusent un prestataire

Le second événement a commencé dans la matinée de vendredi 6 novembre. Dans un communiqué daté de 12 h 01, Nubank a indiqué que les dépôts et retraits de cryptos dans son application étaient « temporairement indisponibles en raison d’une instabilité chez un fournisseur externe de données » (notre traduction), selon Livecoins. Le problème ne venait pas de l’infrastructure de Nubank, a précisé la banque, et tous les actifs et les informations des clients restaient protégés. L’achat et la vente de cryptos dans l’application ont continué de fonctionner, tout comme Pix, le système de paiement instantané brésilien.

À 16 h 26 est arrivé le communiqué de Mercado Pago, la fintech de MercadoLibre. Elle a invoqué « un incident chez un fournisseur chargé de la surveillance des risques et de la lutte contre le blanchiment » et indiqué qu’« une partie des transferts vers des portefeuilles externes a été bloquée par précaution » (nos traductions, d’après Livecoins et O Tempo). Les dépôts pouvaient arriver en retard et seraient crédités automatiquement une fois le service rétabli ; l’achat et la vente se poursuivaient normalement. Revista Poder, citant Reuters, rapporte que les restrictions ont aussi touché les activités de Mercado Pago au Chili et au Mexique.

Aucune des deux sociétés n’a nommé le prestataire, indiqué combien de clients étaient touchés ni donné de date de reprise. Nubank compte environ 120 millions de clients au Brésil, note Revista Poder, mais seuls ceux qui déplaçaient des cryptos entre l’application et un portefeuille externe ont été bloqués. Toutes deux ont dit que les actifs des clients restaient protégés. Une suspension ne signifie pas que des coins ont été perdus ou retirés du compte, a rappelé Metrópoles, et aucune perte de client n’a été signalée chez l’une ou l’autre.

Deux sociétés de conservation apparaissent dans l’affaire, et aucune n’est mise en cause par les entreprises. Fireblocks, qui garde les cryptos de Nubank d’après les pages d’aide de l’application citées par O Tempo, a déclaré que « l’interruption des services de Nubank n’est pas le résultat d’un problème sur la plateforme Fireblocks » (notre traduction, d’après O Tempo). Le dépositaire de Mercado Pago est Paxos, selon son propre site cité par Metrópoles, qui ne relie pas Paxos à l’incident.

Les rumeurs sur Paxos et Chainalysis ne sont pas confirmées

Dès le milieu de la matinée de vendredi, une maison d’analyse brésilienne, Paradigma Education, avait publié sur X que Nubank avait gelé les transferts après un piratage présumé chez son prestataire. Livecoins a rapporté que la rumeur visait Paxos. Aucun média que nous avons lu n’a vérifié ce message. Paxos n’avait fait aucun commentaire public, et sa page d’état n’affichait qu’un retard de dépôt le 4 novembre, marqué comme résolu, sans incident les 5 et 6 novembre, a constaté Livecoins. Rien de public n’étaye l’idée que Paxos aurait été piraté.

Le second nom qui circule est Chainalysis. Exame rapporte que les transferts directs de Nubank vers des plateformes externes passent par un partenariat avec la société d’analyse de la blockchain. Rocelo Lopes, de la société crypto Truther, a suggéré à O Tempo qu’un problème chez une entreprise qui filtre les transactions blockchain pouvait conduire des établissements à suspendre leurs transferts, et il a cité Chainalysis en exemple. Il n’a pas dit que Chainalysis était la cause, et aucune des deux banques ne l’a nommée.

Chainalysis gère sa propre brèche. Sa page consacrée à l’incident indique que ses produits de surveillance des transactions KYT et de filtrage d’adresses sont passés hors ligne à 10 h 30 EST le mercredi 4 novembre, et que les noms, identifiants, empreintes de mots de passe et jetons actifs de tous les utilisateurs ont été exposés. La restauration par phases des deux produits a commencé à 3 h 30 EST (8 h 30 UTC) le vendredi 6 novembre ; son outil d’enquête Reactor restait hors ligne, sans date. La page ne nomme aucun client. Nous avons raconté la brèche dans notre article sur l’incident de Chainalysis.

Les gels sont bien tombés pendant que Chainalysis remettait ses services en route, note BitNotícias, mais le même média précise sans ambiguïté qu’aucun lien n’est confirmé entre les incidents. Nubank n’a pas nommé le fournisseur défaillant. Tant qu’une des entreprises ne dira pas autre chose, le prestataire reste inconnu.

Nubank a-t-elle rouvert les retraits crypto ?

Selon BitNotícias, oui. Son journaliste Cassio Gusson a écrit le samedi 7 novembre à 10 h 30 que les dépôts et retraits crypto de Nubank refonctionnaient depuis 22 h le vendredi, citant la banque : « Nubank informe la normalisation des opérations de retrait et de dépôt sur sa plateforme crypto » (notre traduction). Nous n’avons pas pu le confirmer de façon indépendante. Nous n’avons trouvé aucun second média pour le rapporter ni aucun avis sur une page Nubank consultable ; la reprise repose donc sur ce seul article.

Pour Mercado Pago, BitNotícias n’avait trouvé, à sa publication, aucune déclaration officielle confirmant une reprise complète. Nous n’en avons pas trouvé non plus à 17 h 45 UTC samedi. L’achat et la vente de cryptos ont continué de fonctionner dans les deux sociétés pendant le gel, selon leurs communiqués, et les virements Pix ont circulé normalement dans les deux applications, a rapporté Livecoins.

Deux événements en une semaine, sans lien déclaré

Il est tentant de ne voir qu’une histoire dans une seule semaine de gels crypto au Brésil. Les sources ne le permettent pas. MB a décrit une intrusion dans ses propres systèmes. Nubank et Mercado Pago ont décrit une défaillance chez un fournisseur et bloqué les transferts par précaution, sans vol signalé. Metrópoles dit qu’il n’est même pas confirmé que les problèmes de Nubank et de Mercado Pago aient une origine commune. Revista Poder, qui évoque à la fois le piratage de Binance et l’incident de MB, affirme qu’aucune preuve publiée ne relie les deux perturbations à des attaques contre d’autres plateformes.

Ce que les deux événements ont en commun, selon notre analyse, c’est la dépendance à quelques sociétés extérieures. Les mêmes noms reviennent dans les deux : des émetteurs de stablecoins qui peuvent geler des jetons, des dépositaires comme Fireblocks et Paxos, des fournisseurs d’analyse comme Chainalysis. Quand l’un de ces maillons lâche, ou est soupçonné de lâcher, les clients de plusieurs plateformes peuvent perdre l’accès à leurs coins en même temps, même si rien ne leur a été volé.

Les règles crypto de la banque centrale du Brésil : le contexte

Les deux événements tombent en plein basculement du Brésil vers des plateformes crypto agréées. Selon les règles de la Banco Central do Brasil, les sociétés crypto déjà en activité devaient déposer la première phase d’une demande d’autorisation avant le 30 octobre 2026, comme l’expose notre explication sur l’échéance des licences crypto au Brésil. Un dépôt permet à l’entreprise de continuer à opérer pendant que la banque centrale instruit le dossier. Ce n’est pas une licence, et la BCB dispose de 1 080 jours au plus pour statuer sur les sociétés déjà actives.

Ces règles pèsent directement sur les questions que se posent aujourd’hui les clients. Les sociétés qui déposent un dossier doivent ségréguer les actifs des clients et, dès la date du dépôt, transmettre à la BCB les données clients, les soldes quotidiens, les chiffres de conservation et une preuve de réserves mensuelle. Les banques qui proposent déjà des cryptos se voient appliquer leur propre version de cette obligation à partir du 1er janvier 2027 ; Itaú, par exemple, a déclaré son courtage crypto le 27 octobre, comme nous l’avons rapporté dans notre article sur la notification d’Itaú à la banque centrale.

Une date coïncide avec les gels. À partir du 6 novembre, en vertu de la résolution BCB 589 du 23 septembre, les établissements autorisés par la banque centrale ne peuvent plus réaliser ni permettre d’opérations sur actifs virtuels avec des prestataires non autorisés à opérer au Brésil, sauf dans les cas que les règles prévoient, comme l’a rapporté Capital Aberto en octobre. Le texte ne dit pas clairement si les sociétés qui attendent encore une décision comptent comme autorisées. Ni Nubank ni Mercado Pago n’ont rattaché leur gel à cette règle ; toutes deux ont invoqué un incident chez un prestataire. Nous n’avons trouvé aucune déclaration sur le dossier propre de Mercado Bitcoin, ni aucune déclaration de la BCB ou de la CVM sur les incidents des trois sociétés.

Selon notre analyse, la reprise de MB est le premier test public de la façon dont une plateforme soumise au nouveau régime gère un vol d’ampleur : comment elle déclare la perte, prouve qu’elle peut encore couvrir les soldes des clients et rouvre. Si MB a déposé son dossier, les règles de déclaration font que la banque centrale devrait voir ces chiffres, même si le public ne les voit pas.

Ce qui reste inconnu et les dates à surveiller

Plusieurs faits de base manquent. MB n’a pas dit comment l’attaquant est entré, qui il est, quelle est la taille définitive de la perte, si des fonds gelés ont été rendus ni ce qu’elle a déjà racheté. Nubank et Mercado Pago n’ont pas nommé leurs prestataires. Mercado Pago n’a pas confirmé de reprise, et celle de Nubank repose sur un seul article. Aucune autorité brésilienne ne s’est exprimée publiquement.

La prochaine date est lundi 9 novembre, jour où les clients de MB devraient pouvoir consulter leurs soldes sur le site. La seconde phase, avec les retraits, n’a pas de date. Chainalysis n’en a pas donné non plus pour Reactor. Nous mettrons cet article à jour quand MB ouvrira ses premiers réseaux ou quand l’une des deux banques nommera le fournisseur à l’origine du gel de vendredi.