US$ 48,6 millones. Diez cadenas de bloques. Menos de media hora para vaciar las principales billeteras calientes.
¿Y lo más impresionante? La red blockchain no falló ni una sola vez.
En la madrugada del 2 de noviembre de 2026, Mercado Bitcoin, uno de los mayores exchanges de criptomonedas de Brasil, sufrió un grave incidente de seguridad.
Cuatro días antes, Binance había sufrido un ataque de miles de millones.
Dos incidentes. Dos mecanismos técnicos diferentes. Y una lección que todo inversor debe comprender.
La blockchain puede ser extremadamente segura. Pero ¿quién guarda tus claves? Esa es otra historia.
🔍 ¿Qué ocurrió en Mercado Bitcoin?
Una investigación independiente de Bitquery identificó aproximadamente US$ 48,6 millones movidos desde billeteras asociadas a Mercado Bitcoin en diez redes diferentes.
Solo en Ethereum, se retiraron aproximadamente US$ 29,5 millones de una billetera caliente, con cientos de movimientos en apenas 24 minutos.
Para quienes no lo sepan, una hot wallet es una billetera conectada a internet que las plataformas de intercambio suelen utilizar para procesar depósitos y retiros.
Es como la caja de un banco.
Y, en ese momento, alguien logró mover los fondos de esa caja.
Sin tener que romper el cifrado de Ethereum.
Sin tener que atacar el consenso de Bitcoin.
Bastó con conseguir acceso a la capacidad de firmar transacciones válidas.
⚠️ Pero hay una diferencia importante con respecto a Binance.
En el incidente del 29 de octubre, Binance confirmó que los intrusos obtuvieron acceso no autorizado a un servicio interno de firma.
Los atacantes también explotaron EIP-7702, un mecanismo de Ethereum que permite delegar determinadas capacidades de ejecución de una cuenta a un contrato inteligente.
En términos sencillos, es como obtener una autorización digital para ejecutar determinadas operaciones sin tener que tener la clave privada en las manos.
En el caso de Mercado Bitcoin, el análisis de los movimientos presenta otro patrón: una secuencia de transferencias convencionales, firmadas desde billeteras de la propia operación.
En el flujo examinado no hay pruebas de un mecanismo de delegación EIP-7702 equivalente.
Pero atención: eso no significa necesariamente que alguien haya robado las claves privadas.
El atacante pudo haber obtenido las claves o haber comprometido un sistema que tenía permiso para utilizarlas.
Son situaciones diferentes, con una consecuencia similar: transferencias que la blockchain reconoce como válidas.
🧠 Y aquí viene la parte más preocupante.
No fueron solo las billeteras principales.
Horas después de los primeros movimientos, las direcciones utilizadas para los depósitos de los clientes también empezaron a enviar sus saldos a direcciones asociadas al ataque.
Bitquery contabilizó 36.042 direcciones de depósito vaciadas solo en Ethereum.
Y esos movimientos continuaron durante aproximadamente cuatro horas después del primer comunicado público sobre la contención del incidente.
¿Te das cuenta de la magnitud?
No estamos hablando solo de una billetera comprometida.
Estamos hablando de un posible compromiso de la infraestructura que controla las firmas de miles de direcciones.
Una situación mucho más compleja.
Y que plantea serias cuestiones sobre la segregación de claves, el control de acceso, la supervisión de movimientos y los procedimientos de contención de emergencia.
₿ ¿Y los bitcoins?
Uno de los detalles más interesantes de la investigación es que aproximadamente 106 BTC permanecieron concentrados en una dirección asociada al ataque, sin movimientos posteriores hasta la actualización consultada.
A diferencia de diversos tokens, Bitcoin no tiene una entidad emisora capaz de congelar arbitrariamente los fondos.
No existe un botón administrativo para bloquear esos BTC.
Mientras tanto, los emisores de stablecoins lograron congelar parte de los activos sustraídos.
Según la investigación, los emisores de tokens ya habían congelado aproximadamente US$ 11,8 millones.
Es una diferencia fundamental entre poseer Bitcoin y poseer activos digitales que dependen de terceros para funcionar.
🤔 A fin de cuentas, ¿fue un ataque externo o interno?
Esa es la pregunta que se está haciendo mucha gente.
Pero tenemos que separar las pruebas de las especulaciones.
Los movimientos on-chain permiten identificar cuándo salieron los activos, qué direcciones firmaron las transacciones y adónde se enviaron los fondos.
Por sí solos, no revelan quién estaba detrás del teclado.
Un atacante externo puede comprometer sistemas internos. A un empleado pueden robarle sus credenciales. Un servicio de firma puede ser explotado sin que nadie de la empresa participe en un delito.
Por lo tanto, afirmar que hubo participación interna sería precipitado.
Lo que indican los datos es que hubo un grave compromiso de los controles para mover activos.
Mercado Bitcoin informó que el incidente afectó sus billeteras calientes y aseguró que los clientes no asumirán las pérdidas.
La investigación sobre el origen del ataque aún debe aclarar cómo se obtuvo ese acceso.
🔐 Ahora viene la verdadera reflexión.
Cuando mantienes tus bitcoins bajo la custodia de una plataforma de intercambio, confías no solo en su reputación o en su patrimonio.
Confías en la arquitectura de seguridad, los empleados, los sistemas de firma, las políticas de acceso y los mecanismos de respuesta ante incidentes.
Todo eso puede funcionar perfectamente durante años.
Hasta el día en que deja de funcionar.
Bitcoin se creó precisamente para permitir que dos personas transfieran valor sin depender de la confianza en una institución intermediaria.
Y es aquí donde la autocustodia cobra protagonismo.
Si no son tus claves, no son tus monedas.
Eso no significa que la autocustodia esté exenta de riesgos. Significa que eliges asumir directamente la responsabilidad de tus propias claves.
La seguridad de Bitcoin no garantiza automáticamente la seguridad de quien guarda bitcoins.
Y esa distinción debe quedar clara.
Al final, tanto en el caso de Binance como en el de Mercado Bitcoin, la blockchain hizo exactamente aquello para lo que fue programada: validó transacciones autorizadas según las condiciones criptográficas de la red.
El problema no estuvo en el protocolo.
Estuvo en los sistemas responsables de proteger el acceso a los fondos.
Y esa es una lección que vale miles de millones.
Bitcoin elimina la necesidad de confiar en terceros. Pero si entregas tus claves a un tercero, esa confianza vuelve.
Análisis basado en datos públicos on-chain y comunicados disponibles hasta el 4 de noviembre de 2026. Los mecanismos exactos del incidente de Mercado Bitcoin y la identidad de los responsables aún dependen de la confirmación de la investigación.
Fuentes: Investigación de Bitquery · Comunicado de Mercado Bitcoin · Informe técnico de Binance