Mercado Bitcoin, première plateforme crypto du Brésil, a annoncé avoir maîtrisé un incident de sécurité le 2 novembre 2026. Or la blockchain montre que les transferts depuis ses adresses de dépôt se sont poursuivis plus de quatre heures après ce message. Cet article examine ce décalage, des montants contradictoires et les gels de fonds.
🔑 En bref
- Le 2 novembre 2026, 36 042 adresses de dépôt ont été vidées sur Ethereum entre 12 h 27 et 16 h 56 UTC.
- Le message de « confinement » a été publié à 12 h 56 UTC, soit 29 minutes après le début des transferts.
- Les montants volés vont de 38 à 49 millions de dollars selon les sources, sans total réconcilié.
- Les gels de fonds sont évalués entre 9 et plus de 15 millions de dollars, avec l’appui de Tether et Circle.
- Le piratage s’inscrit dans une vague d’attaques : Binance (6,3 milliards de dollars), Bitget (388 millions) et BitMart.
Une chronologie qui contredit l’annonce de confinement
Selon Bitquery, l’attaquant a vidé 36 042 adresses de dépôt de clients sur Ethereum entre 12 h 27 et 16 h 56 UTC le 2 novembre. Ces adresses contenaient ensemble environ 266 000 dollars d’actifs. Le message de confinement de Mercado Bitcoin a été publié à 12 h 56 UTC, soit 29 minutes après le début des transferts et exactement quatre heures avant la dernière activité recensée.
La fenêtre complète d’activité couvre donc 4 heures et 29 minutes, soit 269 minutes. Shattered, qui a effectué ce calcul à partir des données de Bitquery, en déduit une moyenne d’environ 134 adresses touchées par minute. À São Paulo, 12 h 56 UTC correspondait à 9 h 56 du matin, tandis que la dernière transaction recensée intervenait à 13 h 56 heure locale. Le bilan publié affirmait donc la maîtrise de l’incident alors que les transferts restaient observables sur la blockchain.
| Heure (UTC) | Événement | Source |
|---|---|---|
| 12 h 27 | Début des transferts depuis les adresses de dépôt | Bitquery |
| 12 h 56 | Message de confinement publié par Mercado Bitcoin | Communiqué |
| 16 h 56 | Dernière activité on-chain recensée | Bitquery |
Cet écart de 4 heures et 29 minutes est au cœur de la critique. Mercado Bitcoin n’a pas repris son affirmation de « maîtrise » ni expliqué les transferts ultérieurs. Aucune confirmation indépendante n’était disponible ni pour l’absence de pertes clients, ni pour l’absence de fuite de données. CoinDesk indique en outre que la plateforme n’était pas immédiatement joignable pour commenter.
Des montants qui ne convergent pas
Les estimations du vol n’ont jamais été unifiées. Le tableau ci-dessous recense les chiffres publiés, avec le périmètre lorsqu’il est connu.
| Source | Montant | Périmètre |
|---|---|---|
| Mercado Bitcoin | environ 38 M$ | actifs concernés |
| Bloomberg (titre) | 40 M$ | perte absorbée par la plateforme |
| Yahoo Finance | 46,3 M$ | perte rapportée |
| Bitquery | 48,6 M$ | actifs volés sur 10 blockchains |
| Hypernative | plus de 40 M$ | transferts suspects sur au moins 10 chaînes |
| Chainalysis | environ 49 M$ | fonds dérobés sur 17 blockchains |
Selon Shattered, l’écart entre 38 et 46,3 millions de dollars atteint 8,3 millions, soit environ 22 % du montant le plus bas. Les sources ne donnent aucune méthode permettant de réconcilier les comptages de 10 et de 17 chaînes, ni les estimations de 48,6 et 49 millions. Les écarts peuvent tenir aux actifs et aux transferts comptabilisés, mais aucun total définitif n’a été publié par la plateforme ni par un auditeur indépendant.
« Nous avons rapidement maîtrisé un incident de sécurité dans l’un de nos systèmes tôt ce matin. »
Mercado Bitcoin, communiqué sur les réseaux sociaux, 2 novembre 2026
La plateforme affirme qu’aucun client n’a perdu d’argent tout en promettant de couvrir toutes les pertes subies par ses utilisateurs. Le titre d’un article de Bloomberg évoque par ailleurs une perte de 40 millions de dollars absorbée sur ses propres comptes, sans que l’articulation exacte de cette promesse avec les pertes clients ait été publiée. Le site devait rouvrir en mode consultation seulement le 9 novembre, sans date annoncée pour la reprise des dépôts et des retraits.
Gels de fonds : des bilans qui ne coïncident pas
Chainalysis, dont Mercado Bitcoin est cliente, a été alertée dans les premières heures de l’incident. Un directeur de la plateforme a appelé à 2 h 30 (heure de l’Est) l’expert local de Chainalysis et lui a transmis la liste des transactions non autorisées. Les services de police ont été contactés dans les 30 minutes, puis plusieurs émetteurs de stablecoins ont été coordonnés. Quatre millions de dollars de stablecoins étaient bloqués avant le début de la matinée.
- Mercado Bitcoin : 11 millions de dollars bloqués avec l’aide de Tether, Circle, Paxos, BRL1 et Chainalysis.
- Chainalysis : environ 9 millions de dollars de gels, pour un objectif global proche de 10 millions.
- CoinDesk : plus de 15 millions de dollars gelés avec des partenaires dont Tether, Circle et Chainalysis.
- Tether : plus de 4 millions de dollars d’USDT volés gelés après réception des adresses concernées.
Selon Shattered, les 11 millions de dollars annoncés par la plateforme représentent entre 24 % et 29 % des estimations comprises entre 38 et 46,3 millions. Les sources ne précisent pas si ces chiffres correspondent à des étapes différentes ou à des périmètres de calcul distincts. Sur le plan technique, les stablecoins peuvent être gelés au niveau de leur contrat, alors que les actifs natifs bitcoin et solana ne peuvent pas l’être par un émetteur de stablecoins.
Un lien possible avec BitMart
L’enquête de Bitquery a établi un lien avec un autre incident. Une adresse contrôlée par le même attaquant avait commencé à recevoir des fonds depuis des portefeuilles sur Base, Arbitrum et Optimism avant le piratage de Mercado Bitcoin. Bitquery attribue à ces portefeuilles environ 391 000 dollars de pertes, montant que BitMart n’a pas confirmé. Sheldon Xia, fondateur de BitMart, a reconnu que sa plateforme avait elle aussi été piratée le 2 novembre et que son enquête préliminaire pointait vers le groupe responsable de l’attaque contre Mercado Bitcoin. Les adresses se recoupent, mais aucune infrastructure commune n’est confirmée et la cause des deux compromissions demeure inconnue.
Binance, Lazarus et la vague de vols
Quelques jours plus tôt, Binance avait annoncé une perte de 6,3 milliards de dollars, considérée comme la plus importante de l’histoire des cryptomonnaies. La plateforme indique qu’environ la moitié des actifs a été gelée, que de nombreux fonds restent aux mains des attaquants et qu’elle couvrira l’ensemble des pertes. Son enquête a d’abord suggéré la compromission de l’ordinateur portable d’un ingénieur, donnant accès à un conteneur de services depuis lequel des retraits non autorisés ont été soumis.
« L’attaque n’a pas simplement utilisé les permissions d’un seul ingénieur et n’a pas consisté en une action unique. Elle a impliqué un processus plus complexe. Notre enquête n’a attribué aucune responsabilité à une personne. Pour l’instant, nous n’avons trouvé aucune preuve d’une fuite de clé privée de portefeuille. »
Richard Teng, co-directeur général de Binance
Attribution et lien avec la Corée du Nord
Deux sociétés d’analyse et Check Point attribuent l’attaque à TraderTraitor, unité nord-coréenne également connue sous le nom de Lazarus Group, déjà impliquée dans le vol de 1,5 milliard de dollars subi par Bybit en 2025. TRM Labs relève plusieurs similitudes avec des incidents nord-coréens antérieurs. Ari Redbord, responsable mondial des politiques de TRM Labs, qualifie l’événement de « moment charnière » et estime que les efforts de récupération sont loin d’être achevés. Binance n’a pas directement répondu aux questions sur ce lien.
Check Point rapproche par ailleurs l’attaque du vol de 388 millions de dollars subi par Bitget en septembre. Selon l’entreprise, les attaquants n’ont plus besoin des clés des coffres virtuels : ils visent les systèmes et les personnes habilitées à les utiliser. Tether et Circle ont gelé ensemble environ 2,4 milliards de dollars dans le cadre de la réponse à Binance.
Impact sur les marchés
La BBC a signalé une chute de plus de 4 % du bitcoin après les premières alertes concernant Binance, ainsi qu’un recul marqué de l’ether et du solana. Yahoo Finance indique que le bitcoin cotait 77 000 dollars le 3 novembre, contre plus de 80 000 dollars une semaine plus tôt. Les retraits de clients de Binance sont rapportés de deux façons : près de 11 milliards de dollars de cryptomonnaies et d’espèces selon Yahoo Finance, 4,7 milliards de dollars de retraits nets selon Shattered. Les deux chiffres n’ont pas été rapprochés. Mercado Bitcoin étant détenue par des investisseurs privés, aucune réaction boursière n’était possible.
Perspectives : transparence et scénarios
Le dossier Mercado Bitcoin reste ouvert. Trois éléments conditionneront la lecture de l’épisode : la publication d’un bilan réconcilié, idéalement validé par un auditeur indépendant ; les conditions de reprise des dépôts et retraits, après la réouverture annoncée du 9 novembre ; et la confirmation ou non des liens avec BitMart et avec le groupe nord-coréen évoqué pour Binance.
- Scénario central : un bilan progressivement affiné autour de 38 à 49 millions de dollars, avec une couverture des clients financée par la plateforme.
- Scénario défavorable : de nouvelles adresses identifiées élargissent le périmètre au-delà de 49 millions de dollars, et la confiance des utilisateurs reste durablement entamée.
- Scénario favorable : des gels supplémentaires, notamment sur les stablecoins, réduisent la part non récupérée tandis que les cours se stabilisent.
Ces trois hypothèses ne constituent pas des prévisions. Elles rappellent toutefois que, dans un marché déjà sous pression, la sécurité opérationnelle, et non seulement celle des coffres, demeure le principal point faible des plateformes.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
