O Mercado Bitcoin confirmou na manhã de 2 de novembro de 2026 um incidente de segurança que esvaziou carteiras da corretora durante a madrugada. A Hypernative, empresa que monitora blockchains em tempo real, estimou mais de US$ 40 milhões, cerca de R$ 217,7 milhões, transferidos para endereços recém-criados em pelo menos dez redes. A corretora suspendeu depósitos e saques, afirmou que não houve prejuízo a clientes nem vazamento de dados e publicou os endereços de destino para ajudar no rastreamento.
Esta reportagem fica em acompanhamento: a redação vai atualizá-la nas próximas semanas, conforme a investigação apontar como o acesso foi obtido e quem assume o prejuízo. Quem opera cripto no Brasil já convive com regras de declaração à Receita Federal, e o episódio recoloca a segurança das corretoras no centro da conversa.
O que aconteceu na madrugada de segunda
Corretoras mantêm dois tipos de carteira. As frias guardam a maior parte dos ativos fora da internet. As quentes ficam conectadas à rede porque precisam atender saques e movimentações do dia a dia. Segundo a Bloomberg, foi nesse segundo grupo que o atacante agiu.
O rastro começa antes do amanhecer. Às 22h22 de 1º de novembro, no horário de Brasília, uma carteira recém-criada fez um teste de 0,0001 ETH na rede Base, segundo a Arkham. Por volta das 23h15 começaram varreduras em endereços de depósito em bitcoin, de acordo com a Hypernative. A concentração das transferências veio entre 3h19 e 3h53 de segunda. Às 3h41 saíram 104,43 BTC, e a carteira de destino acumulava cerca de 106 BTC em sete transações por volta das 11h58, sem saídas até ali.
O comunicado oficial saiu às 9h56. Nele, a corretora diz que identificou e conteve o incidente, que não houve prejuízo aos clientes e que não houve vazamento de dados. Esse primeiro texto não informa valor, autoria, vulnerabilidade explorada, de quem eram os ativos movimentados nem qual autoridade conduz a apuração.
Quanto saiu e por que os números não batem
Três empresas de análise chegaram a valores diferentes. A Hypernative falou em mais de US$ 40 milhões em pelo menos dez redes, entre elas Bitcoin, Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain e Stellar. A Arkham chegou a pelo menos US$ 46 milhões. A Chainalysis mencionou 17 redes e cerca de US$ 49 milhões. A Bitquery chegou a US$ 48,5 milhões em dez redes, e a AuditKey calculou US$ 30,3 milhões apenas nos ativos com cotação confiável, deixando de fora centenas de tokens de baixa liquidez. As diferenças vêm do momento da medição, do número de redes observadas e da cotação usada para converter tokens em dólares. Nenhum desses números é prejuízo auditado.
O retrato on-chain ajuda a medir o alcance. Segundo a Bitquery, a carteira quente da Ethereum foi esvaziada em 24 minutos, com 2.852 ETH e cerca de 190 tokens diferentes, e 35.853 endereços de depósito de clientes na mesma rede enviaram saldo para o endereço do invasor, parte deles mais de duas horas depois do comunicado de contenção. No Bitcoin, saíram 106,07 BTC, sendo 104,43 BTC numa única transação.
Parte do dinheiro foi bloqueada antes de sair do alcance, e os números mudaram ao longo do dia. Em comunicado das 21h de 2 de novembro, o próprio Mercado Bitcoin disse ter bloqueado cerca de US$ 11 milhões com apoio de Tether, Circle, Paxos, BRL1 e Chainalysis, e estimou em cerca de US$ 38 milhões o valor ainda não bloqueado. Antes disso, a Exame registrava US$ 3,7 milhões congelados pela Tether, o CEO da emissora, Paolo Ardoino, falava em US$ 4,5 milhões em USDT, e a Chainalysis contabilizava mais de US$ 9 milhões bloqueados pela Tether dentro de quase US$ 10 milhões no total.
O bloqueio funciona assim: o emissor mantém uma lista de endereços barrados no contrato inteligente do próprio token. O que trava é o saldo daquele token específico, não a carteira inteira, que continua livre para mover outros ativos. A medida alcança também ativos lastreados em ouro, como PAXG e XAUt, e não existe em stablecoins descentralizadas, que não têm um emissor central para acionar. Congelar, porém, não é recuperar: o valor fica parado no endereço do invasor, e a devolução costuma exigir que o emissor queime os tokens travados e emita novos para a corretora, etapa que depende de ordem judicial ou policial.
O ataque foi o mesmo da Binance?
Quatro dias antes, em 29 de outubro, a Binance perdeu cerca de US$ 6,3 bilhões em poucas horas. A Elliptic calculou US$ 6,43 bilhões, o maior roubo registrado de que se tem notícia, mais de quatro vezes o caso Bybit de 2025. As saídas começaram às 17h05 no horário de Brasília (20h05 UTC) e atingiram 11 blockchains.
A mecânica foi outra. Na Ethereum, o atacante usou o EIP-7702, recurso que permite a uma carteira delegar seu comportamento a um contrato inteligente. Ele enviou uma transação com 50 autorizações assinadas pela chave da carteira quente Binance 14. Uma delas casaria com o número de transações da carteira, e a partir daí o contrato do atacante passou a controlá-la. Três minutos e meio depois, 167.464 ETH saíram, junto com 63 tokens ERC-20, entre eles US$ 1,615 bilhão em USDT. A investigação inicial da Binance apontou o notebook de um engenheiro de DevOps comprometido como porta de entrada, e depois a empresa disse ter encontrado outros pontos de invasão. Emissores de stablecoin conseguiram congelar cerca de US$ 2,7 bilhões do que havia saído.
No Mercado Bitcoin, o que se vê até agora são transferências comuns, assinadas pelas próprias carteiras, sem exploração de contrato inteligente identificada. Como alguém obteve poder de assinar por essas carteiras segue sem explicação pública. A semelhança entre os dois casos está no alvo, nas carteiras quentes e na pressa em mover o dinheiro por várias redes. Não há evidência pública de que tenham sido os mesmos criminosos ou a mesma falha.
Coreia do Norte, atribuição e silêncio
Em 31 de outubro, o FBI atribuiu o roubo da Binance à Coreia do Norte, pelo grupo que a agência chama de TraderTraitor, o mesmo apontado no caso Bybit de 2025. O governo americano liga esses desvios ao financiamento do programa de armas do país.
No caso brasileiro, não há atribuição pública até agora. O Mercado Bitcoin fala em autoridades competentes, sem nomear Polícia Federal, FBI ou qualquer inquérito. Também não há grupo que tenha assumido a autoria do roubo da Binance. O que apareceu foi outra coisa: um registro de inteligência de ameaças de 1º de novembro atribui ao grupo ShinyHunters uma reivindicação sobre dados e chaves da Binance. Isso é alegação de extorsão, não prova de autoria do roubo bilionário. Atribuição de agência e reivindicação de criminoso são coisas distintas, e nenhuma das duas resolve o caso do Mercado Bitcoin.
Onde a IA entra nessa história
A pergunta é justa, e a resposta pública ainda é uma disputa. A TRM Labs disse à Bloomberg que há indícios de que o TraderTraitor passou a usar inteligência artificial para reconhecer alvos e preparar abordagens, estratégia que a reportagem descreve como caça a alvos grandes, sem confirmar como a ferramenta teria sido usada. A Zscaler afirma que a IA baixou a barreira técnica e acelerou operações do tipo.
A Elliptic, que rastreou o dinheiro depois do roubo, chegou a outra conclusão sobre a automação. Em quatro dias, os fundos passaram por cerca de 12 mil carteiras em 11 redes, com mais de 40 mil transações e uma carteira nova a cada 25 segundos. Para a empresa, o padrão é de script: valores repetidos, tentativas que falham e são reenviadas do mesmo jeito, nada que indique um agente de IA decidindo o próximo passo.
As duas leituras cabem no que se sabe. A IA pode ter ajudado no reconhecimento de alvos e na engenharia social, caminho que especialistas apontam como o mais provável para chegar a um notebook de funcionário. Quebrar criptografia com IA não é o que os casos mostram. No Mercado Bitcoin, não há evidência pública de uso de IA, e especialistas ouvidos pela imprensa tratam o assunto como hipótese de investigação.
Quem paga a conta
Segundo a Bloomberg, o Mercado Bitcoin afirmou que vai absorver o prejuízo, e a nota oficial sustenta que clientes não perderam nada. A frase comporta duas leituras: ou os ativos eram do caixa da própria corretora, ou eram de clientes e a empresa vai repor. O The Record relatou que especialistas contestaram a versão com evidências on-chain de saída de carteiras de clientes, o que não prova, por si só, perda no saldo contábil de quem investe pela plataforma. Cripto também não tem FGC: aplicação em corretora de ativos virtuais não conta com fundo garantidor como o dos depósitos bancários. O que a regra do Banco Central exige, pela Resolução BCB 520/2025 sob a Lei 14.478/2022, é segregação patrimonial estrita entre os ativos dos clientes e o caixa da própria empresa.
O caso cai numa semana sensível para a regulação. O Mercado Bitcoin protocolou em 27 de outubro, segundo o Estadão, o pedido de licença como prestador de serviços de ativos virtuais no Banco Central, e o prazo para as prestadoras que já operavam no país pedirem autorização terminou em 30 de outubro. Ter protocolo não significa licença concedida: o pedido feito no prazo permite seguir operando durante a análise. As regras do BC exigem controles de cibersegurança e responsabilização por perdas decorrentes de negligência. E há uma data com efeito prático: a partir de 6 de novembro de 2026, pela Resolução BCB 589/2026, bancos e instituições de pagamento não podem mais realizar ou viabilizar operações com prestadoras não autorizadas, o que inclui liquidação em reais e acesso a Pix. Quem não protocolou o pedido perde essa conexão.
Para o investidor, a porta é o Código de Defesa do Consumidor, com responsabilidade objetiva reconhecida pelo STJ em casos de custódia, como mostrou O Globo. Extratos, comprovantes, telas de tentativas de saque e protocolos de atendimento ajudam a documentar o saldo antes de qualquer instabilidade maior.
A apuração sobre o Mercado Bitcoin ainda tem perguntas abertas: como o atacante conseguiu autorizar as transferências, qual foi o tamanho final do prejuízo, quanto será recuperado e quem responde por isso. A redação vai continuar acompanhando o caso e atualizar esta reportagem nas próximas semanas, a cada confirmação nova, além de publicar textos novos quando houver desdobramento. Vale voltar ao blog para acompanhar o que a investigação revelar.
Fonte: Mercado Bitcoin, Hypernative, Arkham, Bitquery, Chainalysis, Elliptic, FBI, Exame, O Globo, The Record, Estadão, Bloomberg, com TRM Labs e Zscaler e CoinDesk.
