O Mercado Bitcoin, corretora brasileira de criptomoedas fundada em 2013, informou nesta segunda-feira (2) que sofreu um “incidente de segurança” em um de seus sistemas na madrugada e suspendeu depósitos e saques. A empresa, que diz ter 4,5 milhões de clientes e sede europeia em Portugal, afirma que não houve prejuízo aos clientes nem vazamento de dados. Um relatório da AuditKey estima em US$ 30,3 milhões o valor desviado, e até o fim do dia não havia prazo para a volta das movimentações.
O que o Mercado Bitcoin disse sobre o ataque
A corretora sustenta que nenhum cliente perdeu dinheiro e que nenhum dado vazou. Em comunicado publicado na rede social X, afirmou: “Identificamos e contivemos com rapidez um incidente de segurança em um de nossos sistemas nesta madrugada. Reforçamos que: não houve nenhum prejuízo aos clientes; não houve vazamento de dados.” Disse que equipes investigam o caso, rastreiam os ativos e coordenam medidas com as autoridades, e divulgou os endereços de destino para ajudar no monitoramento e no rastreamento dos ativos nas redes blockchain.
Quem procurar a página de status da corretora para saber quando os saques voltam não encontra a resposta. O painel monitora cinco componentes (Website, Cadastro, Trade API, App mobile e Login), nenhum deles de depósitos ou saques, e todos apareciam como operacionais nesta segunda-feira.
Quanto dinheiro saiu das carteiras
Não existe número oficial: a corretora não divulgou quanto saiu, e as três medições divergem porque medem coisas diferentes. A mais conservadora é a da AuditKey, que analisou dados públicos das redes e calculou os US$ 30,3 milhões só em ativos com cotação disponível, sem tokens de baixa liquidez.
A empresa de monitoramento Hypernative apontou, nas primeiras horas, mais de US$ 40 milhões; fontes ouvidas na apuração trabalham com até US$ 50 milhões. As transferências não autorizadas passaram por nove redes entre 1h36 e 6h49. Os endereços que receberam os valores começaram a ser preparados cerca de 12 horas antes: no domingo (1º), carteiras em Ethereum e Tron receberam pequenas quantias para custear as transações seguintes, e a primeira transferência suspeita foi às 22h36, na Arbitrum.
Numa única operação saíram 104,42787649 bitcoins. Em outra, 86 entradas de 54 endereços de depósito movimentaram cerca de 1,27 BTC, padrão que, segundo os pesquisadores, exige capacidade de autorizar movimentações sobre essas carteiras. É o que sustenta a conclusão de comprometimento de chaves privadas ou do sistema que assina transações, não de falha em contrato inteligente. O relatório ressalva que os registros públicos não permitem saber se o acesso veio de invasão externa, de credenciais internas ou de um fornecedor de custódia.
Por que a Tether conseguiu congelar parte do dinheiro
Porque o USDT, a stablecoin pareada ao dólar, tem uma empresa emissora com poder de bloquear endereços na própria rede, poder que bitcoin e ether não têm. Às 8h37, cerca de 708.243 USDT foram bloqueados na Tron; um minuto depois, outros 2.990.660 USDT na Ethereum. Somados, os bloqueios imobilizaram cerca de US$ 3,7 milhões.
Congelar não é recuperar: os valores não podem ser movimentados enquanto as restrições valerem, mas isso não devolve o dinheiro à corretora. O relatório apontou ainda cerca de US$ 7,5 milhões em ativos que os emissores poderiam bloquear, entre eles 2,23 milhões de USDC numa carteira Ethereum e 707 mil USDC na Polygon. Os criminosos, enquanto isso, converteram parte do que sobrou: entre 10h01 e 10h10, cerca de 10.660 SOL foram para carteiras intermediárias e, depois, para rotas de negociação associadas ao agregador Jupiter.
O caso é o segundo grande ataque da semana. Em 29 de outubro, a Binance, maior corretora do mundo, teve o maior roubo da história do mercado cripto, com mais de US$ 6,3 bilhões drenados de carteiras, e o FBI atribuiu a ação ao grupo TraderTraitor, ligado à Coreia do Norte. Foi o ataque que abriu a semana do setor, e a Binance retomou as retiradas no domingo, vendo US$ 4,72 bilhões líquidos deixarem a plataforma.
O ataque veio três dias depois do prazo do Banco Central
O prazo para as corretoras que já operavam no Brasil pedirem autorização ao Banco Central terminou em 30 de outubro, três dias antes do ataque, conforme a Instrução Normativa BCB nº 704, de 29 de janeiro de 2026, que fixou nesse dia a instrução da primeira fase do pedido. As regras que criaram as sociedades prestadoras de serviços de ativos virtuais (SPSAV) estão nas Resoluções BCB nº 519, 520 e 521, publicadas em 10 de novembro de 2025 e em vigor desde 2 de fevereiro de 2026. A 520 estende a essas empresas a regulamentação sobre proteção e transparência nas relações com clientes, prevenção à lavagem de dinheiro e governança; a 519 trata da autorização de funcionamento, e a 521 enquadra operações com ativos virtuais no mercado de câmbio. Não há informação pública, até a publicação desta reportagem, sobre se o Mercado Bitcoin protocolou o pedido.
O que o cliente pode fazer agora
Sem prazo para a volta dos saques, o caminho é registrar tudo por escrito: guardar protocolos de atendimento, prints das mensagens e o comprovante do saldo, e abrir reclamação no Consumidor.gov.br, plataforma que o órgão de defesa do consumidor usa para mediar o contato com a empresa. A cobrança tem base na regra do Banco Central: a 520 estende às prestadoras as normas de proteção e transparência nas relações com os clientes.
A corretora diz até agora que não houve prejuízo a clientes e que novas atualizações sairão pelos canais oficiais, enquanto, no fim de outubro, o bitcoin havia caído a US$ 76,5 mil, como mostrou reportagem do Espaço do Povo sobre a queda do preço.
