Mercado Bitcoin riapre lunedì in sola lettura dopo l’hack da 48,6 milioni; Nubank e Mercado Pago bloccano i trasferimenti crypto e accusano fornitori senza nome

Mercado Bitcoin, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il maggiore exchange crypto del Brasile, lunedì 9 novembre farà rientrare i clienti nell’account, ma solo per consultare i saldi. Prelievi, depositi e trading restano chiusi a una settimana dall’hack del 2 novembre, che i tracciatori esterni stimano tra 40 e 48,6 milioni di dollari; la società dice che rimborserà ogni cliente, ricomprando con fondi propri ciò che non riuscirà a recuperare. Un’altra vicenda, distinta: venerdì 6 novembre la banca digitale Nubank e l’app di pagamenti Mercado Pago hanno bloccato i trasferimenti crypto da e verso wallet esterni, attribuendo il problema a un fornitore che nessuna delle due ha nominato.

Sono due eventi diversi. Nessuna azienda, nessun investigatore e nessuna testata tra le fonti consultate li ha collegati, e questo articolo li tiene separati. L’hack è confermato dalla stessa Mercado Bitcoin. I blocchi sono confermati da entrambe le società, ma non la loro causa: le voci online su un custode o su una società di analisi blockchain finiti sotto attacco restano senza prove.

Hack di Mercado Bitcoin: cosa è successo il 2 novembre

L’exchange, abbreviato MB, ha annunciato l’incidente su X lunedì 2 novembre. «Abbiamo individuato e contenuto rapidamente un incidente di sicurezza in uno dei nostri sistemi nelle prime ore di questa mattina», ha scritto, secondo la traduzione di una citazione riportata da The Block. Ha sospeso depositi e prelievi «come misura di protezione preventiva», stando a Decrypt, e ha detto che i clienti non avevano subito perdite e che nessun dato era trapelato. Poi ha pubblicato gli indirizzi di destinazione dei fondi, su reti EVM, Bitcoin, Solana, Stellar e Tron, perché società di sicurezza ed emittenti di token potessero seguirli.

Sul termine «contenuto» ora c’è una disputa. La società di analisi Bitquery, in conclusioni riferite da CoinDesk Brasil il 5 novembre, sostiene che l’attaccante abbia svuotato 36.042 indirizzi di deposito dei clienti su Ethereum tra le 12:27 e le 16:56 UTC del 2 novembre. MB aveva dichiarato l’incidente contenuto alle 12:56 UTC. Secondo la cronologia di Bitquery, il drenaggio è dunque proseguito per circa quattro ore dopo quella dichiarazione. Quegli indirizzi di deposito su Ethereum custodivano in tutto circa 266.000 dollari, secondo lo stesso rapporto: la parte più grossa del furto arriva da altrove. MB non era disponibile per un commento, scrive CoinDesk.

Emmett Gallic, analista di Arkham, ha detto che l’attaccante stava ripulendo vecchi indirizzi di deposito e vendendo memecoin e altre altcoin, ha riferito The Block. Fabrício Tota, vicepresidente di MB per i nuovi business, in un video diffuso il 5 novembre e ripreso da BitNotícias ha spiegato che la maggior parte dei fondi sottratti stava negli hot wallet, i portafogli online che un exchange usa per i prelievi quotidiani. MB tiene in hot wallet circa il 5% degli asset, ha detto, e i cold wallet non sarebbero stati toccati. L’azienda non ha spiegato come l’attaccante sia entrato nei suoi sistemi.

Per chi è nuovo alla custodia sugli exchange: un exchange centralizzato conserva le monete dei clienti in portafogli che controlla lui, per lo più offline (cold) e in parte online (hot) per rapidità. Il saldo di un cliente è un credito verso l’exchange, non monete in un portafoglio proprio. La nostra guida su come funziona un exchange centralizzato, dal KYC alla custodia spiega come è fatto il sistema e perché un attacco al lato hot può bloccare tutti.

Quanto è stato rubato: quattro stime e i numeri della società

Sull’entità esatta dell’hack di Mercado Bitcoin nessuno è d’accordo, e MB non ha mai dato un totale unico. Ogni cifra qui sotto viene da una società diversa, contata in un momento diverso.

Il conteggio di Arkham, scomposto da CryptoSlate, comprendeva circa 8,37 milioni di dollari in ether, 8,24 milioni in bitcoin e 1,76 milioni nella memecoin PEPE. Sommati, i due numeri di MB danno circa 49 milioni, vicini alla cifra di Bitquery. Quella somma è nostra; MB non l’ha fornita. Tota ha descritto la parte ancora nelle mani dell’attaccante come «più o meno il 3% della nostra custodia totale» (traduzione nostra dell’originale «mais ou menos 3% da nossa custódia total»).

Bloccato non vuol dire recuperato: Tether, Circle e gli altri emittenti

La risposta più rapida è arrivata dagli emittenti di stablecoin, che possono mettere in lista nera gli indirizzi con i loro token. «Tether ha congelato oltre 4,5 milioni di USDT legati a questo incidente di sicurezza», ha scritto su X il 2 novembre Paolo Ardoino, amministratore delegato di Tether, come riportato da Decrypt (traduzione nostra). Tether non è una parte neutrale: a luglio 2026 ha annunciato un investimento strategico da 20 milioni di dollari in MB, ricorda CryptoSlate. La nostra pagina su Tether, le sue riserve e i suoi congelamenti passati spiega come funzionano quelle liste nere.

L’analista on-chain Specter, citato da CryptoSlate, ha contato oltre 9 milioni di dollari (la cifra esatta è 9,17 milioni) immobilizzati su nove asset, tra cui USDC, il token sull’oro PAXG e l’RLUSD di Ripple. Secondo CoinDesk Brasil, partner come Tether, Circle e Chainalysis hanno aiutato a bloccare più di 15 milioni di dollari. Tota ha indicato un importo bloccato superiore a 16 milioni e ha citato Tether, Circle, Paxos, Stellar e Chainalysis come le società che hanno collaborato.

Un congelamento impedisce all’attaccante di spostare quei token. Non li riporta nella custodia di MB, e nessuna fonte dice quando, o se, le somme bloccate saranno restituite all’exchange.

La promessa di Mercado Bitcoin di coprire le perdite dei clienti

MB ha promesso il 3 novembre di coprire tutte le perdite degli utenti, ha riferito CoinDesk Brasil. Un giorno dopo l’exchange ha detto a Cointelegraph Brasil che la sua area di trading stava preparando gli acquisti necessari «nei mercati nazionali e internazionali» (traduzione nostra), richiamando la propria liquidità e l’investimento di Tether.

Nel video del 5 novembre Tota è andato oltre. Il piano di riacquisto «è già in esecuzione», ha detto, e «tutto il saldo in asset dei clienti che erano qui al momento dell’incidente sarà onorato» (traduzione nostra, come riportato da BitNotícias). Ciò che MB non riesce a recuperare, dice, lo ricomprerà con fondi propri. Non ha detto quanto spenderà, quali monete comprerà per prime né quando la sostituzione sarà completa. BitNotícias aggiunge che più di 300 dipendenti lavorano a indagini, recupero e ripartenza, e Tota ha detto che MB ha raccolto più di 300 milioni di dollari nei round di finanziamento.

È una promessa, non un risultato verificato. Nessun revisore né regolatore ha detto pubblicamente che le riserve di MB coprano i saldi dei clienti dopo il furto.

Cosa possono e non possono fare i clienti di Mercado Bitcoin da lunedì

La ripartenza avviene in due fasi, secondo BitNotícias (6 novembre) e Cointelegraph Brasil (4 novembre).

• Da lunedì 9 novembre i clienti possono accedere al sito di MB e vedere saldi, estratti conto, asset e investimenti. Le cifre mostrano le posizioni com’erano prima dell’incidente.
• In questa prima fase i prelievi restano sospesi, e con loro depositi e trading.
• In una seconda fase trading, depositi e prelievi di crypto e di real tornano gradualmente, per gruppi di asset e per rete blockchain, a procedure di sicurezza e test indipendenti completati. Nessuna data è stata comunicata.

«Lunedì prossimo iniziamo questo processo», ha detto Tota nel video (traduzione nostra). L’exchange ha detto che pubblicherà gli aggiornamenti su X, secondo Decrypt. Finché non confermerà che una determinata rete è di nuovo aperta, i clienti non hanno modo di spostare monete fuori da MB.

Chi c’è dietro: nessun gruppo nominato

MB non ha detto chi sia dietro l’attacco e nessun investigatore ha nominato un gruppo. Gli investigatori non hanno stabilito alcun legame con TraderTraitor, il gruppo nordcoreano che l’FBI ha indicato come autore del furto a Binance di fine ottobre, riferisce CryptoSlate, e MB non ha collegato il proprio incidente a quello di Binance, secondo Decrypt. Un’altra piattaforma potrebbe essere stata colpita dalle stesse mani. Sheldon Xia, fondatore di BitMart, ha detto che BitMart è stata hackerata il 2 novembre e che la sua indagine preliminare indica il gruppo dietro l’attacco a MB, ha riferito CoinDesk Brasil. Bitquery sostiene che lo stesso attaccante abbia preso circa 391.000 dollari, in gran parte da wallet che collega a BitMart; BitMart non ha confermato questa attribuzione.

MB dice di lavorare con le «autorità» e con società specializzate. Nessuna delle fonti consultate nomina un’agenzia, e nelle stesse fonti non risulta alcuna dichiarazione della Banco Central do Brasil, della CVM (l’autorità sui valori mobiliari) o della Polícia Federal sull’incidente.

Nubank e Mercado Pago bloccano i trasferimenti crypto e accusano un fornitore

Il secondo evento è cominciato nella mattinata di venerdì 6 novembre. In un comunicato con orario 12:01, Nubank ha detto che depositi e prelievi crypto nella sua app erano «temporaneamente non disponibili a causa di un’instabilità di un fornitore di dati esterno» (traduzione nostra), secondo Livecoins. Il problema non era nell’infrastruttura di Nubank, ha precisato la banca, e tutti gli asset e le informazioni dei clienti restavano protetti. Acquisto e vendita di crypto dentro l’app hanno continuato a funzionare, come Pix, il sistema di pagamenti istantanei brasiliano.

Alle 16:26 è arrivato un comunicato di Mercado Pago, la fintech di MercadoLibre. Ha parlato di «un incidente presso un fornitore esterno di monitoraggio del rischio e antiriciclaggio» e ha detto che «parte dei trasferimenti verso wallet esterni è stata bloccata in via precauzionale» (nostre traduzioni, da Livecoins e O Tempo). I depositi potevano arrivare in ritardo e sarebbero stati accreditati in automatico al ritorno del servizio; acquisto e vendita proseguivano normalmente. Revista Poder, citando Reuters, riferisce che le restrizioni hanno toccato anche le attività di Mercado Pago in Cile e in Messico.

Nessuna delle due società ha nominato il fornitore, detto quanti clienti siano stati colpiti o indicato una data di ripartenza. Nubank ha circa 120 milioni di clienti in Brasile, osserva Revista Poder, ma sono stati bloccati solo quelli che spostavano crypto tra l’app e un wallet esterno. Entrambe hanno detto che gli asset dei clienti restavano protetti. Una sospensione non significa che le monete siano andate perse o siano state sottratte dal conto, ha osservato Metrópoles, e nessuna perdita per i clienti è stata segnalata da nessuna delle due.

Nella vicenda compaiono due società di custodia, e nessuna delle due è accusata dalle aziende. Fireblocks, che secondo le pagine di supporto dell’app citate da O Tempo custodisce le crypto di Nubank, ha detto che «l’interruzione dei servizi di Nubank non è il risultato di alcun problema sulla piattaforma Fireblocks» (traduzione nostra, da O Tempo). Il custode di Mercado Pago è Paxos, secondo il suo stesso sito citato da Metrópoles, che non lega Paxos all’incidente.

Le voci su Paxos e Chainalysis non sono confermate

A metà mattina di venerdì una società brasiliana di analisi, Paradigma Education, aveva scritto su X che Nubank aveva bloccato i trasferimenti dopo un presunto attacco informatico al proprio fornitore di servizi. Livecoins ha riferito che la voce indicava Paxos. Nessuna testata tra quelle consultate ha verificato il post. Paxos non aveva rilasciato commenti pubblici e la sua pagina di stato mostrava solo un ritardo nei depositi il 4 novembre, segnato come risolto, e nessun incidente il 5 o il 6 novembre, ha riscontrato Livecoins. Nulla di pubblico sostiene che Paxos sia stata hackerata.

Il secondo nome in circolazione è Chainalysis. Exame riferisce che i trasferimenti diretti di Nubank verso piattaforme esterne passano da una partnership con la società di analisi blockchain. Rocelo Lopes della società crypto Truther ha suggerito a O Tempo che un problema presso una società che controlla le transazioni blockchain potrebbe spingere gli istituti a sospendere i trasferimenti, e ha citato Chainalysis come esempio. Non ha detto che Chainalysis fosse la causa, e nessuna delle due banche l’ha nominata.

Chainalysis sta gestendo una violazione propria. La sua pagina sull’incidente dice che i prodotti KYT di monitoraggio delle transazioni e Address Screening sono andati offline alle 10:30 EST di mercoledì 4 novembre e che nomi, username, hash delle password e token attivi di tutti gli utenti sono stati esposti. Il ripristino a fasi di entrambi i prodotti è iniziato alle 3:30 EST (08:30 UTC) di venerdì 6 novembre; lo strumento di indagine Reactor è rimasto offline, senza una data. La pagina non nomina alcun cliente. Abbiamo raccontato la violazione nel nostro articolo sull’incidente di Chainalysis.

I blocchi sono caduti mentre Chainalysis rimetteva in funzione i suoi servizi, nota BitNotícias, ma la stessa testata afferma chiaramente che non c’è alcun legame confermato tra gli incidenti. Nubank non ha nominato il fornitore che ha avuto il guasto. Finché una delle società non dirà altro, il fornitore resta sconosciuto.

Nubank ha ripreso i prelievi di crypto?

Secondo BitNotícias, sì. Il suo giornalista Cassio Gusson ha scritto sabato 7 novembre alle 10:30 che depositi e prelievi crypto di Nubank funzionavano di nuovo dalle 22:00 di venerdì, citando la banca: «Nubank comunica la normalizzazione delle operazioni di prelievo e deposito sulla sua piattaforma crypto» (traduzione nostra). Non è stato possibile verificarlo in modo indipendente: nessun’altra testata lo riporta e nessun avviso compare su una pagina di Nubank consultabile, quindi la ripartenza poggia su questa sola segnalazione.

Per Mercado Pago, BitNotícias non aveva trovato al momento della pubblicazione alcun comunicato ufficiale che confermasse una ripartenza completa. Nemmeno alle 17:45 UTC di sabato ne risultava uno. Acquisto e vendita di crypto sono rimasti attivi presso entrambe durante il blocco, secondo i loro comunicati, e i trasferimenti Pix hanno funzionato normalmente in entrambe le app, ha riferito Livecoins.

Due eventi nella stessa settimana, nessun legame dichiarato

Viene la tentazione di vedere un’unica storia in una settimana di blocchi crypto in Brasile. Le fonti non lo consentono. MB ha descritto un’intrusione nei propri sistemi. Nubank e Mercado Pago hanno descritto un guasto presso un fornitore e hanno bloccato i trasferimenti in via precauzionale, senza alcun furto segnalato. Metrópoles dice che non c’è conferma nemmeno del fatto che i problemi di Nubank e Mercado Pago abbiano un’origine comune. Revista Poder, che cita sia l’hack di Binance sia l’incidente di MB, scrive che nessuna prova pubblicata collega i due disservizi ad attacchi ad altre piattaforme.

Ciò che i due eventi hanno in comune, secondo la nostra analisi, è la dipendenza da poche aziende esterne. In entrambi tornano gli stessi nomi: emittenti di stablecoin che possono congelare i token, custodi come Fireblocks e Paxos, fornitori di analisi come Chainalysis. Quando uno di questi anelli si rompe, o si sospetta che si sia rotto, i clienti di più piattaforme possono perdere l’accesso alle proprie monete in un colpo solo, anche se nulla è stato loro sottratto.

Le regole della banca centrale brasiliana sulle crypto: lo sfondo

Entrambi gli eventi cadono nel mezzo del passaggio del Brasile a piattaforme crypto autorizzate. Secondo le regole della Banco Central do Brasil, le società crypto già operative dovevano presentare la prima fase della richiesta di autorizzazione entro il 30 ottobre 2026, come spieghiamo nel nostro approfondimento sulla scadenza brasiliana per le licenze crypto. La presentazione consente a una società di continuare a operare mentre la banca centrale esamina la domanda. Non è una licenza, e la BCB ha fino a 1.080 giorni per decidere sulle società già attive.

Quelle regole pesano direttamente sulle domande che i clienti si pongono adesso. Le società che presentano domanda devono segregare gli asset dei clienti e, dalla data di presentazione, inviare alla BCB i dati dei clienti, i saldi giornalieri, i dati di custodia e una prova mensile delle riserve. Le banche che già offrono crypto hanno una versione propria di quell’obbligo dal 1° gennaio 2027; Itaú, per esempio, ha depositato la sua intermediazione crypto il 27 ottobre, come abbiamo riferito nel nostro articolo sulla notifica di Itaú alla banca centrale.

Una data coincide con i blocchi. Dal 6 novembre, in base alla Risoluzione BCB 589 del 23 settembre, gli istituti autorizzati dalla banca centrale non possono più eseguire o rendere possibili operazioni in asset virtuali con fornitori non autorizzati a operare in Brasile, salvo i casi che le regole ammettono, come ha riferito a ottobre Capital Aberto. Il testo non chiarisce se le società che attendono ancora una decisione contino come autorizzate. Né Nubank né Mercado Pago hanno collegato il proprio blocco a quella norma; entrambe hanno parlato di un incidente presso un fornitore. Non risulta alcuna dichiarazione sulla pratica di Mercado Bitcoin, né alcuna dichiarazione della BCB o della CVM sugli incidenti delle tre società.

Secondo la nostra analisi, la ripartenza di MB è il primo test pubblico di come una piattaforma sotto il nuovo regime gestisca un grosso furto: come comunica la perdita, come dimostra di poter ancora coprire i saldi dei clienti, come riapre. Se MB ha presentato domanda, le regole di segnalazione fanno sì che la banca centrale debba vedere quelle cifre anche se il pubblico non le vede.

Cosa resta ignoto e le date da seguire

Mancano diversi dati di base. MB non ha detto come l’attaccante sia entrato, chi sia, l’entità finale della perdita, se qualche fondo bloccato sia stato restituito o cosa abbia già ricomprato. Nubank e Mercado Pago non hanno nominato i fornitori. Mercado Pago non ha confermato una ripartenza, e quella di Nubank poggia su una sola segnalazione. Nessuna autorità brasiliana si è espressa ufficialmente.

La prossima data è lunedì 9 novembre, quando i clienti di MB dovrebbero poter vedere i saldi sul sito. La seconda fase, con i prelievi, non ha una data. Nemmeno Chainalysis ne ha data una per Reactor. Aggiorneremo questo articolo quando MB aprirà le prime reti o quando una delle due banche nominerà il fornitore dietro il blocco di venerdì.