Le brésilien Mercado Bitcoin bloque les retraits après la fuite de 40 millions de dollars

Mercado Bitcoin, l'une des plus grandes plateformes d'échange de cryptomonnaies du Brésil, a suspendu les dépôts et les retraits lundi 2 novembre, après que des portefeuilles liés à la plateforme ont été vidés sur au moins dix blockchains. Selon des outils de suivi on-chain, plus de 40 millions de dollars sont partis. La plateforme n'a confirmé aucun montant. Elle affirme que l'incident a été « rapidement identifié et contenu » et que les clients n'ont rien perdu, rapporte CoinDesk. C'est le deuxième gros piratage de plateforme en une semaine, après Binance.

Comment les portefeuilles ont été vidés

L'essentiel de l'argent est parti entre 06 h 19 et 06 h 53 UTC, soit de 03 h 19 à 03 h 53 à São Paulo. Des portefeuilles sur Ethereum, Solana, Tron, Polygon, Arbitrum, Avalanche, BNB Chain, Stellar et d'autres réseaux ont envoyé leurs soldes vers des adresses toutes neuves. D'après les chiffres relayés par Pablo Sabbatella, fondateur de la société de sécurité Opsek, l'attaquant détient environ 2 852 ETH, 106 BTC, 10 700 SOL, 6,7 millions de XLM, 77 000 AVAX et plus de 200 autres jetons. La société de sécurité blockchain Hypernative a été parmi les premières à signaler les transferts.

Il s'agissait de transferts ordinaires, pas de l'exploitation d'un smart contract. Leur auteur pouvait signer des transactions depuis les portefeuilles de la plateforme, et on ignore encore comment il a obtenu cet accès. Personne n'a revendiqué l'attaque, et aucune preuve publique ne la relie à celle contre Binance, que le FBI a attribuée au groupe nord-coréen TraderTraitor.

Ce que dit la plateforme

Dans un message sur X, Mercado Bitcoin a indiqué avoir détecté et contenu dans la nuit un incident de sécurité « dans l'un de nos systèmes ». « Les clients n'ont subi aucune perte », a déclaré l'entreprise, et aucune donnée client n'a fuité. Les dépôts et retraits ont été suspendus par précaution, et l'accès à l'application a lui aussi été temporairement coupé, selon Money Times. L'entreprise dit que ses équipes traquent les actifs et travaillent avec les autorités, sans préciser lesquelles. Elle a ensuite publié les adresses de destination de l'attaquant sur les réseaux EVM, Bitcoin, Solana, Stellar et Tron pour que d'autres plateformes puissent les bloquer. Aucune date de reprise n'a été donnée.

Le PDG de Tether, Paolo Ardoino, a annoncé que la société avait « gelé plus de 4,5 millions d'USDT liés à cet incident de sécurité », rapporte crypto.news. Cela ne couvre qu'une petite partie des pertes : l'ether, le bitcoin et la plupart des autres cryptomonnaies ne peuvent pas être gelés par un émetteur. Tether a aussi un intérêt direct dans l'affaire : en juillet, elle a investi 20 millions de dollars dans Mercado Bitcoin. Fondée à São Paulo en 2013, la plateforme compte plus de 4,8 millions de clients, selon Crypto Briefing. En août, la banque centrale du Brésil avait annoncé un système d'alerte en temps réel sur les menaces crypto, construit avec Hypernative, et cité Mercado Bitcoin parmi les participants prévus. La plateforme n'a pas dit si ce système a servi cette fois.

Ce que doivent faire les clients de Mercado Bitcoin

• Ne suivez les nouvelles que sur le site officiel de la plateforme et ses comptes vérifiés. L'accès à l'application a été coupé, donc toute « mise à jour » ou « nouvelle application » reçue par message doit éveiller les soupçons.
• Ignorez les offres de « remboursement », d'« indemnisation » ou de « vérification de compte ». Les grands piratages sont toujours suivis d'hameçonnage qui exploite l'actualité, et aucun vrai remboursement ne demande votre mot de passe, un code 2FA ou une phrase de récupération.
• Quand l'application reviendra, vérifiez votre solde et l'historique des opérations, et assurez-vous que la double authentification et la liste blanche des adresses de retrait sont activées.
• Ne vous précipitez pas pour tout retirer dès le premier jour : des files d'attente et des retards sont probables après une reprise, et c'est souvent à ce moment qu'apparaissent de faux comptes de « support ».

C'est le troisième piratage de plateforme en deux semaines. Avant cela, l'indienne CoinDCX avait d'abord nié puis reconnu une perte de 16 millions de dollars, et Binance a perdu 6,3 milliards de dollars. Tant que les cryptomonnaies restent sur une plateforme, c'est elle qui détient les clés, et sa panne ou son piratage devient aussi votre problème. Pour une épargne à long terme, un portefeuille matériel que vous contrôlez vous-même est l'option la plus sûre.