Mercado Bitcoin trava saques após ataque de US$ 49 milhões

Quem tem saldo no Mercado Bitcoin, a maior corretora de cripto do país, está sem conseguir sacar desde a madrugada de segunda. Um invasor tirou cerca de US$ 49 milhões em criptomoedas das carteiras da empresa, segundo a própria corretora. Dá uns R$ 269 milhões, com o dólar a R$ 5,49.

O MB diz que nenhum cliente vai perder ativo e que a empresa arca com o prejuízo. Depósitos, saques e o aplicativo seguem fora do ar, e a corretora não deu prazo para voltar. A apuração vai até as 13h desta terça, horário de Brasília.

Cinco horas de madrugada

O ataque começou por volta de 1h, segundo a InvestNews, com base nas empresas de rastreamento CertiK, AuditKey e Bitquery. O invasor esvaziou primeiro as carteiras quentes, as que ficam ligadas à internet para pagar os saques do dia, em dez redes diferentes.

O grosso saiu entre 3h19 e 3h53, segundo a Hypernative, empresa de segurança que deu o primeiro alerta.

Depois, segundo a InvestNews, o invasor mexeu em cerca de 35 mil endereços de depósito, aqueles que cada cliente usa para mandar cripto para a corretora. A CertiK, citada pela Cointelegraph, conta 27.160. A operação toda durou umas cinco horas, pela CertiK.

Ninguém sabe ainda como ele entrou. A Bitquery vê sinais compatíveis com uma invasão do sistema de pagamentos da corretora, somada ao acesso às chaves dos endereços de depósito, mas avisa que a blockchain sozinha não prova isso. O MB não explicou, e ninguém assumiu o ataque.

Pela conta da CertiK, publicada pela InvestNews, a maior parte saiu pela rede Ethereum, cerca de US$ 29,6 milhões, seguida do bitcoin, com US$ 8,3 milhões, e da Solana, com US$ 3,5 milhões. O resto se espalhou por outras 14 redes.

Contido rapidamente?

O primeiro comunicado, no X, dizia que o incidente foi identificado e contido "com rapidez". Só que, segundo a Cointelegraph, endereços ligados ao ataque continuaram recebendo dinheiro por horas depois do aviso de suspensão. A corretora não respondeu à Cointelegraph sobre isso.

O valor também cresceu ao longo do dia. A Hypernative falou primeiro em mais de US$ 40 milhões, e a Arkham, em mais de US$ 46 milhões. À noite, o próprio MB informou US$ 49 milhões no total.

Desse total, US$ 11,2 milhões já estão bloqueados, com ajuda de Tether, Circle, Paxos, do consórcio do BRL1 e da Chainalysis. Seguem soltos cerca de US$ 38 milhões, ou R$ 209 milhões.

Bloqueado não é devolvido. O congelamento direto pelo emissor só existe em moeda estável, a cripto atrelada ao dólar ou ao real. Bitcoin e ether não têm emissor, e a recuperação do resto depende de rastreio, de outras corretoras travarem o dinheiro quando ele chegar e de polícia.

Quem paga a conta

Pela palavra da empresa, paga o MB. A corretora disse à Bloomberg que vai arcar com o prejuízo. No site, afirma guardar a maior parte dos ativos dos clientes em carteiras frias, desligadas da internet, e separados do patrimônio próprio. Se for assim, a perda sai do caixa e fica com o acionista.

Dividido pelos cerca de 4,5 milhões de clientes, o ataque daria uns R$ 60 por pessoa, pela nossa conta. Se a promessa valer, ninguém recebe essa fatura. A conta só mostra o tamanho do buraco que a empresa diz que vai tapar sozinha.

O detalhe é que, de fora, ninguém consegue conferir. Não localizamos prova de reservas publicada pelo MB, o documento que mostra se a empresa tem toda a cripto que diz guardar. Em 2022, depois da quebra da FTX, a corretora disse ao InfoMoney que essa prova é limitada e que a garantia é a segregação.

O que fizeram Binance e Polymarket

A Binance, roubada em US$ 6,3 bilhões em 29 de outubro, prometeu cobrir tudo com dinheiro próprio e reabriu saques de bitcoin três dias depois. Diz ter reposto 95%. Em 2 de novembro, publicou uma prova de reservas para dez moedas, que qualquer cliente pode conferir, e marcou um novo retrato das reservas para quarta.

A Polymarket, atacada no mesmo dia por um script de fornecedor, parou por cerca de uma hora e devolveu US$ 3,9 milhões, acima do que foi desviado. As duas pagaram do próprio bolso. A diferença para o MB, até aqui, é a Binance ter posto um documento conferível na mesa.

E o Banco Central?

O MB ainda não tem a licença de prestadora de serviços de ativos virtuais. Pediu em 27 de outubro, três dias antes do fim do prazo. Pela Resolução 520 do Banco Central, quem pediu a tempo segue operando até a decisão. A corretora já tem licença de instituição de pagamento, segundo a Exame.

A mesma regra manda separar a cripto dos clientes da cripto da empresa e enviar ao BC, todo mês, uma prova de reservas. Essa prova vai para o regulador, não para o cliente. Público, só a auditoria independente a cada dois anos. E cripto não tem FGC, o fundo que garante depósitos em banco.

Até o fechamento, não localizamos nota do Banco Central sobre o ataque. O MB diz ter avisado "as autoridades competentes", sem dizer quais.

Nossa leitura

Licença não tranca carteira, e a regra do BC já exigia política de segurança. O que protege o cliente é a empresa pagar o prejuízo, como o MB promete. Mas promessa se confere com prova de reservas pública, não com relatório enviado a Brasília. E cripto na sua própria carteira fria não entra em ataque a corretora.

Falta saber como o invasor entrou, quando os saques voltam e quanto dos US$ 38 milhões ainda pode ser bloqueado. A empresa promete informar o prazo da volta pelo aplicativo, pelo site e pelos perfis oficiais.