Взлом Mercado Bitcoin на $49 млн: средства выводили даже после заявления об остановке атаки

В понедельник, 2 ноября 2026 года, бразильская криптобиржа Mercado Bitcoin остановила пополнения и вывод криптовалют после инцидента безопасности. Первоначальные оценки потерь превышали $40 млн. Позже аналитическая компания Bitquery проследила вывод активов приблизительно на $48,5 млн в десяти блокчейнах, а Chainalysis оценила масштаб похищенного примерно в $49 млн. Однако самое тревожное в этой истории - не только сумма. По данным Bitquery, после перевода денег из горячих кошельков злоумышленник продолжил опустошать 35 853 депозитных адреса Ethereum, в том числе после публичного заявления биржи о локализации атаки.

Mercado Bitcoin настаивает, что клиенты не понесли финансового ущерба и что утечки личных данных не произошло. К 3 ноября компания сообщила о блокировке активов примерно на $11 млн. Эти сообщения важно читать вместе: хищение с адресов, обязательство биржи перед клиентом и фактическое восстановление вывода - три разных обстоятельства. Для пользователя главный практический вопрос сегодня не «сколько стоит Bitcoin», а можно ли безопасно отправить депозит, почему транзакция не зачисляется и откуда узнать достоверный статус площадки.

Что случилось с Mercado Bitcoin 2 ноября

Согласно первому официальному сообщению Mercado Bitcoin, ночью команда обнаружила и оперативно локализовала инцидент безопасности в одной из систем. Для защиты пользователей биржа временно приостановила приём депозитов и вывод средств, начала расследование и взаимодействие с компетентными органами. Компания также опубликовала адреса назначения для отслеживания несанкционированных переводов.

В то же утро специалисты Hypernative сообщили о подозрительном выводе более $40 млн с адресов, связанных с биржей. Данные Arkham, приведённые The Block, дали оценку около $46,3 млн. Позднее Bitquery, исследовав несколько сетей и оценив токены на момент транзакций, получила примерно $48,5 млн. Независимая команда Chainalysis назвала величину около $49 млн. Это не четыре отдельных хищения, а оценки одного инцидента, сформированные разными наборами адресов, временем наблюдения и методикой оценки активов.

По информации бразильских СМИ от 3 ноября, биржа говорит примерно об $11 млн активов, которые удалось заблокировать. Нельзя автоматически вычитать эту цифру из отчёта Bitquery и называть результат окончательным ущербом: ещё требуется понять, какие токены входят в разные расчёты, что именно заблокировано и можно ли в итоге вернуть это имущество владельцу.

Почему оценка потерь выросла с $40 млн почти до $49 млн

Начальная сумма в заголовках финансовых изданий отражала экстренные предупреждения мониторинга. Когда появились дополнительные адреса и записи блокчейнов, расчёт расширился. Bitquery считает стоимость активов в момент каждого перевода; токены без подтверждённой рыночной цены могут не входить в итог. Chainalysis применяет собственную карту связанных адресов. Помимо этого, цена ETH, BTC и менее ликвидных токенов меняется, пока расследование продолжается.

Из этих чисел нельзя вывести точную сумму, которая станет убытком клиентов. Биржа может покрыть потери из собственных резервов, часть активов может остаться замороженной, а отдельные переводы - быть включены в разные расчёты. Нужны окончательная сверка и последующий отчёт об инциденте.

Десять блокчейнов за считаные минуты

В расследовании Bitquery описано, как горячие кошельки Mercado Bitcoin отправляли активы на подконтрольные атакующему адреса в десяти сетях. Самый крупный денежный объём пришёлся на Ethereum: около $29,5 млн за примерно 24 минуты и около 188 переводов. Другие крупные направления включали Bitcoin; также фигурировали Solana, TRON и несколько сетей, совместимых с Ethereum.

Горячий кошелёк - инфраструктурный адрес, с которого биржа исполняет операции. Его ключи или механизмы подписания доступны серверной системе, поэтому удобны для быстрых выплат, но требуют строгого контроля доступа. Из того, что деньги ушли с горячих кошельков нескольких сетей, не следует, что взломали сами блокчейны. Наблюдаемая картина больше соответствует компрометации системы управления ключами или подписанием транзакций, однако точный способ доступа публично не установлен.

Особенно важно, что сообщения о переводах не доказывают причастность той же группы, которую подозревают во взломе Binance несколькими днями ранее. Совпадение по времени и отрасли не является основанием объединять расследования.

Почему после объявления о локализации деньги продолжали уходить

По данным Bitquery, Mercado Bitcoin заявила о быстром сдерживании атаки в 12:56 UTC 2 ноября. Но исследователи увидели продолжение выводов с депозитных адресов Ethereum до как минимум 15:44 UTC. Это означает, что публичное заявление о локализации инцидента не совпадало с прекращением всей подозрительной активности в изученной ончейн-выборке.

Здесь необходимо различать два возможных объяснения. Компания могла остановить часть инфраструктуры, пока отдельная система подписания или ранее скомпрометированные адреса оставались доступными злоумышленнику. Также исследователи могли классифицировать как часть атаки переводы, которые происходили после остановки основного канала. Какая именно техническая причина верна, пока неизвестно. Для окончательного ответа нужен аудит ключей, журналов и времени отключения сервисов.

Пользователь не обязан выяснять внутреннюю архитектуру биржи, чтобы принять разумное решение: пока компания не подтвердила безопасное восстановление депозитов, отправлять средства на привычные адреса не следует.

Что означает число 35 853 депозитных адреса

Это число из ончейн-анализа Bitquery относится к адресам Ethereum, с которых исследователи обнаружили движение остатков. Оно не равно автоматически 35 853 людям, потерявшим деньги. Один клиент может иметь несколько адресов, некоторые адреса могли использоваться давно, а часть остатков - уже быть учтена на внутреннем балансе биржи. Правильнее говорить о масштабе наблюдаемого доступа к адресной инфраструктуре.

У централизованной биржи обычно есть два слоя учёта. В блокчейне существует депозитный адрес, на который клиент направляет криптовалюту. Во внутренней базе площадки есть запись о зачислении на счёт пользователя. После подтверждения депозита биржа может переводить монеты с этого адреса на общий кошелёк. Поэтому остаток, видимый в обозревателе по одному адресу, не всегда совпадает с балансом аккаунта.

Если злоумышленник получает возможность распоряжаться старым депозитным адресом, ситуация отличается от обычного взлома одного горячего кошелька: новый перевод на ранее использовавшиеся реквизиты потенциально тоже может попасть под риск. Поэтому особенно опасна привычка копировать адрес из старого скриншота, письма или сохранённой записки.

Подробнее о разнице между переводом на адрес и зачислением биржей рассказано в материале как пополнить криптокошелёк Bitcoin и USDT.

Могли ли пострадать средства клиентов

Биржа заявляет, что финансовых потерь у клиентов нет, и отрицает утечку данных. Это важное обязательство оператора, но оно не отменяет факта несанкционированного движения активов. Владелец аккаунта может видеть прежний баланс и одновременно не иметь технической возможности вывести актив до завершения проверок.

Существуют разные варианты дальнейшего развития событий: биржа полностью компенсирует похищенное из резервов; часть имущества удаётся заблокировать и вернуть; платёжные операции возобновляются поэтапно после замены ключей и изменения адресов. Публичных оснований утверждать, что все эти этапы уже пройдены, нет.

Для клиента полезнее смотреть на два проверяемых факта: зачисление средств на собственном аккаунте и официальный статус конкретной операции вывода. Ончейн-аналитика помогает проследить маршрут, но не показывает обязательства биржи по клиентским счетам.

Почти $11 млн заблокировано: почему это не означает возврат

Chainalysis 2 ноября сообщила о координации с эмитентами стейблкоинов и блокировке активов почти на $10 млн в ходе реакции на атаку. Компания описала взаимодействие с Tether и другими эмитентами, которым можно передать подтверждённые адреса и документы для ограничения движения конкретных токенов. На следующий день бразильская пресса передала сообщение самой Mercado Bitcoin примерно об $11 млн заблокированных активов.

Заморозить токены - не то же самое, что вернуть их на баланс биржи. Эмитент может технически запретить движение некоторых токенов на определённом адресе. Для фактического возврата могут потребоваться новые действия эмитента, решения правоохранительных органов и подтверждение прав на имущество. Если часть украденного находится в BTC или ETH, у них нет централизованного эмитента с аналогичной функцией заморозки.

Кроме того, цифры о замороженных USDT, USDC и иных активах могут различаться между отчётами из-за времени снимка и состава токенов. Поэтому неправильно складывать все сообщения об ограничениях и объявлять итог «вся кража компенсирована». О том, что представляет собой USDT и чем он отличается от Bitcoin, есть отдельная статья что такое стейблкоины.

Что делать, если вы уже отправили депозит на Mercado Bitcoin

Начните с сохранения доказательств, а не повторной отправки. Запишите название криптовалюты, сеть, полный адрес получателя, сумму, дату, время, хеш транзакции и номер обращения в поддержку. Проверьте операцию в независимом обозревателе именно нужной сети - появление подтверждённой записи показывает движение в блокчейне, но не гарантирует зачисление на счёт биржи.

Если перевод подтверждён, а зачисления нет, не отправляйте «контрольный депозит» на тот же адрес. Направьте в официальную поддержку данные одной конкретной операции и запросите статус зачисления. Если хеш в сети отсутствует, уточните у отправляющей площадки, был ли перевод вообще отправлен; внутренний номер заявки и TXID могут выглядеть по-разному.

Наша инструкция проверить криптовалютную транзакцию по хешу помогает отделить подтверждение сети от внутреннего статуса биржи. Само по себе совпадение адреса в блокчейне и в старой истории аккаунта не доказывает, что реквизит по-прежнему безопасен.

Если вывод заблокирован и деньги остались на бирже

Не нужно повторять вывод десятки раз или пытаться обойти ограничение с помощью стороннего «ускорителя». Проверьте, отображается ли статус заявки - «ожидает», «отклонена», «обработка», «отправлена в сеть». Сохраните скриншоты, но не публикуйте сведения об аккаунте, почте и документах. Дальнейшие действия зависят от того, есть ли уже сетевой TXID.

После возобновления работы важно проверить условия и доступность нужной сети, а не только общий зелёный значок статуса. Внешние проблемы банковского вывода и блокчейн-перевода - разные вещи; они разбираются в руководстве как вывести криптовалюту на карту.

Почему нельзя доверять письмам о «компенсации взлома»

Крупный инцидент создаёт привлекательный повод для мошенников. Они могут представиться службой безопасности Mercado Bitcoin, предложить заполнить форму «экстренного возврата», отправить код из SMS или подписать сообщение криптокошельком. На самом деле для обычного уведомления о статусе биржевого счёта не требуется передавать сид-фразу, закрытый ключ, одноразовый код или разрешение на расходование токенов.

Mercado Bitcoin отдельно предупредила клиентов о мошеннических ссылках на возмещение и сообщениях через мессенджеры. Даже если уведомление содержит верный бренд, логотип, сумму и дату атаки, переходите в приложение или на сайт, адрес которого вы проверили самостоятельно, а не по рекламному сообщению. Особенно опасны сайты, которые предлагают «AML-разблокировку» в обмен на новый перевод. Контекст подобных проверок объясняет материал AML-проверка криптокошелька и USDT.

Проверка публичного адреса не требует доступа к вашему кошельку. Если кто-то обещает бесплатно вернуть замороженные биржевые активы при условии подключения кошелька, это не подтверждённая процедура компенсации.

Имеет ли инцидент отношение к новым правилам Бразилии

Почти одновременно Бразилия готовится применять обновлённые нормы для взаимодействия банков и криптопровайдеров, вступающие в силу 6 ноября. Однако взлом Mercado Bitcoin не является результатом этих регуляторных требований, а расследование не доказывает, что новая банковская норма могла предотвратить конкретную атаку.

Показательна и разница в рисках: наличие лицензии или поданной заявки описывает правовой статус компании, а защита ключей, аудит инфраструктуры, сегментация доступа и резервные процедуры определяют техническую устойчивость. Для сравнения можно прочесть отдельный материал о том, как Itaú Unibanco оформляет работу с Bitcoin в Бразилии. Нельзя приписывать одному событию последствия другого только из-за общей географии и близких дат.

Чему инцидент учит пользователей других криптобирж

Главный вывод не в том, что каждая централизованная платформа обязательно потеряет деньги. Риск заключается в зависимости от оператора, который хранит ключи, ведёт внутренние балансы и контролирует доступность вывода. Человек может строго соблюдать личную безопасность, но не управлять сервером, подписывающим операции биржи.

Поэтому полезно заранее оценивать, какой объём активов нужен для текущих сделок, а какой не требуется держать на торговом счёте. При долгосрочном хранении важно понимать условия самостоятельного владения ключами, резервное копирование и операционные риски: перевод на собственный кошелёк не отменяет опасности потери сид-фразы или отправки не в ту сеть.

Инцидент также показывает ценность прозрачных сообщений. Компания вправе сообщить, что счета клиентов обеспечены, но читатель должен различать «убыток будет покрыт», «сервисы восстановлены», «похищенное заморожено» и «похищенное возвращено». Это не синонимы.

Вопросы и ответы

Mercado Bitcoin уже возобновила вывод средств?

На момент подготовки этого материала 3 ноября не найдено официального подтверждения полного восстановления всех депозитов и выводов для каждой сети. Проверяйте актуальные сообщения биржи непосредственно перед операцией; временная остановка и её окончание могут различаться по продуктам.

Сколько миллионов похищено: 40, 46, 48,5 или 49?

Все числа относятся к одному инциденту, но к разным моментам и методикам оценки. Bitquery сообщила около $48,5 млн, Chainalysis - около $49 млн. Компания Mercado Bitcoin не подтвердила публично окончательный размер хищения в первоначальном заявлении.

Все ли 35 853 адреса принадлежали разным клиентам?

Нет оснований делать такой вывод. Исследование говорит о депозитных адресах Ethereum и их остатках, а не о 35 853 уникальных личностях. У человека или компании может быть несколько адресов, а деньги, ранее принятые на депозит, могли уже отражаться во внутреннем балансе биржи.

Если токены заморожены, пользователи получат их обратно?

Не обязательно автоматически. Заморозка означает ограничение движения определённых активов; фактическое взыскание и восстановление счетов - другие юридические и технические этапы. На данный момент биржа заявляет о защите клиентов, но окончательный отчёт о возврате всех активов ещё не опубликован.

Можно ли безопасно отправить USDT на прежний адрес депозита?

Пока платформа не объявила о безопасном восстановлении соответствующей сети и не подтвердила действительность конкретных реквизитов, лучше воздержаться от перевода. Старый адрес из истории платежей не является гарантией безопасности в условиях компрометации инфраструктуры подписания.

Что важно запомнить

Взлом Mercado Bitcoin 2 ноября 2026 года оказался сложнее обычного сценария «хакер вывел деньги из одного кошелька». Ончейн-аналитики обнаружили атаки на горячие кошельки в нескольких блокчейнах и на тысячи депозитных адресов Ethereum. Биржа гарантирует отсутствие потерь у пользователей и сообщает о блокировке части активов, но окончательная техника проникновения и полный порядок восстановления ещё должны быть установлены.

Для владельца криптовалюты полезны три простых действия: не отправлять новые средства на неподтверждённые старые реквизиты, сохранять TXID и данные операций, доверять только официальным каналам биржи. Эти меры не возвращают украденное самостоятельно, но уменьшают риск дополнительной потери из-за ошибочного перевода или мошеннического «возмещения».

Редакционная проверка: данные Bitquery и Chainalysis от 2 ноября 2026 года, первоначальные заявления Mercado Bitcoin от 2 ноября и сообщение биржи о заблокированных активах, переданное Folha de S.Paulo 3 ноября. Числа, статусы заморозки и сроки восстановления могут уточняться по мере расследования. Изображения - редакционные иллюстрации, не фотографии реальной атаки.

Автор

Barbados