Mercado Bitcoin, uno de los mayores exchanges de criptomonedas de Brasil, ha congelado depósitos y retiros este lunes tras detectar un incidente de seguridad en uno de sus sistemas. La plataforma sostiene que no hay pérdidas para sus clientes ni filtración de datos. La firma de seguridad blockchain Hypernative, que vigila en tiempo real el movimiento de fondos entre carteras, calcula que las direcciones atribuidas al exchange han desviado cerca de 40 millones de dólares.
Conviene empezar por una aclaración que el nombre invita a confundir: Mercado Bitcoin es una empresa brasileña de compraventa de criptoactivos, no ‘el mercado del bitcoin’ en abstracto. El incidente afecta a los clientes de una plataforma concreta, no al precio de la moneda ni a la red que la sostiene. El comunicado oficial reconoce el fallo, asegura que se ha contenido ‘con rapidez’ y explica que la suspensión de depósitos y retiros responde a una ‘medida preventiva de protección’. De momento no hay importes, ni detalles técnicos, ni plazo de reapertura.
Qué ha pasado: 40 millones movidos en una madrugada
La alerta la dio Hypernative. Según su análisis, los primeros movimientos sospechosos aparecieron a las 2:15 UTC, que en Brasilia corresponden a las 23:15 del domingo. Las transferencias de mayor volumen se concentraron entre las 6:19 y las 6:53 UTC, cuatro horas más tarde. En ese intervalo, carteras atribuidas a Mercado Bitcoin enviaron la mayor parte de los fondos a direcciones recién creadas y vinculadas al posible atacante.
El botín, siempre según esa estimación preliminar, está repartido por al menos diez redes: Bitcoin, Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Smart Chain, Stellar y alguna más. Las direcciones señaladas contienen 2.852 ETH, 106 BTC, 10.700 SOL, 6,7 millones de XLM, 77.000 AVAX, 3,07 millones de XDC y 1,7 millones de TRX, además de más de 200 tokens distintos. Hypernative publicó ejemplos de esas transacciones y el saldo en ether puede consultarse en el explorador de la red Ethereum beaconcha.in, donde efectivamente aparecen unos 2.852 ETH. Eso demuestra que el dinero está ahí, no que sea del exchange.
El detalle que más inquieta no es la cuantía, sino el método. No hubo un exploit de contrato inteligente (el aprovechamiento de un error en el código de un protocolo), que es el patrón habitual en este tipo de robos. Fueron transferencias corrientes, firmadas como si las carteras del exchange las hubieran autorizado.
Por qué importa que las transacciones estuvieran firmadas
Hypernative admite que todavía no sabe cómo el atacante logró esa capacidad de firma. Maneja dos hipótesis: que quedaran expuestas las llaves privadas (las contraseñas maestras de una cartera, sin copia de seguridad posible) o que fallara la infraestructura interna que autoriza las salidas de fondos. Ninguna de las dos es una buena noticia, porque en ambos casos el problema no está en la cadena, sino en casa.
Un exchange no cae solo por un error de código: cae cuando alguien consigue firmar en su nombre y nadie lo detecta a tiempo.
El comunicado de la compañía no menciona a Hypernative, no detalla importes y no aclara si los activos movidos eran de clientes o de la propia tesorería. Tampoco ofrece fecha para reanudar depósitos y retiros, que es la primera pregunta de cualquier usuario con dinero dentro. La empresa dice que está rastreando los activos y coordinando acciones con las autoridades competentes, y ha prometido actualizaciones periódicas a través de los canales oficiales de Mercado Bitcoin.
Aclarar ese punto importa más de lo que parece. Si los fondos eran de clientes y el exchange no puede cubrirlos, el problema se convierte en una quita para miles de personas; si eran de la propia empresa, el golpe es contable y reputacional. Hasta que haya confirmación, los 40 millones de dólares siguen siendo una estimación de terceros.
El eslabón débil no ha cambiado en quince años
La historia de los exchanges es, en buena medida, la historia de sus brechas. Mt. Gox, la plataforma que dominó el mercado de bitcoin en sus primeros años, quebró en 2014 tras perder cientos de miles de monedas y dejó a miles de usuarios esperando una devolución durante una década. FTX se derrumbó en 2022 por una apropiación indebida del dinero de sus clientes, sin ningún asalto externo de por medio. Entre ambos extremos, una lista larga de incidentes menores, que rara vez llega a los titulares.
La novedad de este ciclo es que el dinero ya no viaja por una sola cadena. Este caso lo ilustra bien: diez redes, más de 200 tokens y direcciones nuevas creadas en cuestión de minutos. Para el atacante es una ventaja evidente; para quien intenta seguir el rastro, una carrera contra el reloj que suele perderse en el primer cruce a un servicio de mezcla o a una plataforma con controles laxos.
Para el ahorrador español, la lectura práctica es sencilla y algo incómoda. Un exchange es un intermediario, y todo intermediario tiene un punto único de fallo: la infraestructura que autoriza las salidas. Quien guarda cripto en una plataforma no está protegido por las mismas reglas que un depositante bancario, ni en Brasil ni, en buena medida, en la Unión Europea, donde MiCA —el reglamento europeo de criptoactivos que empezó a aplicarse en 2024— exige requisitos de custodia y separación de fondos, pero no un fondo de garantía equivalente al de los depósitos.
Qué mirar a partir de ahora. Primero, si Mercado Bitcoin confirma la cifra o la rebaja. Segundo, si los depósitos y retiros se reabren sin colas ni restricciones. Y tercero, si las direcciones señaladas empiezan a moverse: cada transferencia es una pista y, a la vez, una oportunidad perdida para recuperar el dinero. De momento, el episodio queda en el capítulo de los incidentes sin relato cerrado. Es el más incómodo de todos.
