48,6 millions de dollars US. Dix blockchains. Moins d’une demi-heure pour vider les principaux portefeuilles chauds.
Et le plus impressionnant ? Le réseau blockchain n’a pas connu la moindre défaillance.
Au petit matin du 2 novembre 2026, Mercado Bitcoin, l’une des plus grandes plateformes d’échange de cryptomonnaies du Brésil, a subi un grave incident de sécurité.
Quatre jours plus tôt, Binance avait subi une attaque d’un milliard de dollars.
Deux incidents. Deux mécanismes techniques différents. Et une leçon que tout investisseur doit comprendre.
La blockchain peut être extrêmement sûre. Mais qui garde vos clés ? C’est une autre histoire.
🔍 Que s’est-il passé chez Mercado Bitcoin ?
Une enquête indépendante de Bitquery a recensé environ 48,6 millions de dollars américains transférés depuis des portefeuilles associés à Mercado Bitcoin sur dix réseaux différents.
Sur Ethereum seulement, environ 29,5 millions de dollars américains ont été retirés d’un portefeuille chaud, au cours de plusieurs centaines de mouvements en seulement 24 minutes.
Pour ceux qui ne le savent pas, un portefeuille chaud est un portefeuille connecté à Internet, généralement utilisé par les plateformes d’échange pour traiter les dépôts et les retraits.
C’est comme la caisse d’une banque.
Et à ce moment-là, quelqu’un a réussi à transférer les fonds de cette caisse.
Sans avoir à casser le chiffrement d’Ethereum.
Sans avoir à attaquer le consensus du Bitcoin.
Il a suffi d’obtenir la capacité de signer des transactions valides.
⚠️ Mais il existe une différence importante avec Binance.
Lors de l’incident du 29 octobre, Binance a confirmé que des intrus avaient obtenu un accès non autorisé à un service interne de signature.
Les attaquants ont également exploité l’EIP-7702, un mécanisme d’Ethereum qui permet de déléguer à un contrat intelligent certaines capacités d’exécution d’un compte.
En termes simples, c’est comme obtenir une autorisation numérique permettant d’effectuer certaines opérations sans avoir la clé privée en main.
Dans le cas de Mercado Bitcoin, l’analyse des mouvements révèle un autre schéma : une série de transferts classiques, signés depuis des portefeuilles appartenant à la plateforme elle-même.
Dans le flux examiné, rien n’indique l’utilisation d’un mécanisme de délégation équivalent à l’EIP-7702.
Mais attention : cela ne signifie pas nécessairement que quelqu’un a volé les clés privées.
L’attaquant a pu obtenir les clés ou compromettre un système autorisé à les utiliser.
Ce sont des situations différentes, mais aux conséquences similaires : la blockchain reconnaît les transferts comme valides.
🧠 Et c’est là que les choses deviennent les plus préoccupantes.
Il n’y avait pas que les portefeuilles principaux.
Quelques heures après les premiers mouvements, des adresses utilisées pour les dépôts des clients ont également commencé à envoyer leurs soldes vers des adresses associées à l’attaque.
Bitquery a recensé 36 042 adresses de dépôt vidées sur Ethereum seulement.
Et ces mouvements se sont poursuivis pendant environ quatre heures après le premier communiqué public annonçant les mesures de confinement de l’incident.
Vous vous rendez compte de l’ampleur ?
Il ne s’agit pas seulement d’un portefeuille compromis.
Il pourrait s’agir d’une compromission de l’infrastructure qui contrôle les signatures de milliers d’adresses.
Une situation bien plus complexe.
Et qui soulève de sérieuses questions concernant la ségrégation des clés, le contrôle des accès, la surveillance des mouvements et les procédures d’urgence pour contenir l’incident.
₿ Et les bitcoins ?
L’un des détails les plus intéressants de l’enquête est qu’environ 106 BTC sont restés concentrés sur une adresse associée à l’attaque, sans aucun mouvement ultérieur jusqu’à la mise à jour consultée.
Contrairement à de nombreux jetons, le Bitcoin ne possède pas d’entité émettrice capable de geler arbitrairement les fonds.
Il n’existe pas de bouton administratif pour bloquer ces BTC.
Pendant ce temps, les émetteurs de stablecoins ont réussi à geler une partie des actifs détournés.
Selon l’enquête, les émetteurs de jetons avaient déjà gelé environ 11,8 millions de dollars américains.
C’est une différence fondamentale entre détenir du Bitcoin et détenir des actifs numériques qui dépendent de tiers pour fonctionner.
🤔 Alors, s’agissait-il d’une attaque externe ou interne ?
C’est la question que beaucoup de gens se posent.
Mais nous devons distinguer les preuves des spéculations.
Les mouvements on-chain permettent de déterminer quand les actifs ont été transférés, quelles adresses ont signé les transactions et où les fonds ont été envoyés.
À elle seule, elle ne révèle pas qui se trouvait derrière le clavier.
Un attaquant externe peut compromettre des systèmes internes. Un employé peut se faire voler ses identifiants. Un service de signature peut être exploité sans qu’un membre de l’entreprise soit impliqué dans un acte criminel.
Il serait donc prématuré d’affirmer qu’il y a eu une implication interne.
Ce que les données indiquent, c’est une grave compromission des contrôles liés aux mouvements d’actifs.
Mercado Bitcoin a indiqué que l’incident avait touché ses portefeuilles chauds et a garanti que les clients n’auraient pas à supporter les pertes.
L’enquête sur l’origine de l’attaque doit encore déterminer comment cet accès a été obtenu.
🔐 Voici maintenant la véritable réflexion.
Lorsque vous confiez la garde de vos bitcoins à une plateforme d’échange, vous faites confiance non seulement à sa réputation ou à ses actifs.
Vous faites confiance à son architecture de sécurité, à ses employés, à ses systèmes de signature, à ses politiques d’accès et à ses mécanismes de réponse aux incidents.
Tout cela peut fonctionner parfaitement pendant des années.
Jusqu’au jour où ce n’est plus le cas.
Le Bitcoin a précisément été créé pour permettre à deux personnes de transférer de la valeur sans dépendre de la confiance envers une institution intermédiaire.
C’est là que l’autogarde prend toute son importance.
Pas vos clés, pas vos bitcoins.
Cela ne signifie pas que l’autogarde est sans risque. Cela signifie que vous choisissez d’assumer directement la responsabilité de vos propres clés.
La sécurité du Bitcoin ne garantit pas automatiquement la sécurité de ceux qui en détiennent.
Et cette distinction doit être claire.
Au final, dans les affaires Binance comme Mercado Bitcoin, la blockchain a fait exactement ce pour quoi elle a été conçue : valider les transactions autorisées par les conditions cryptographiques du réseau.
Le problème ne venait pas du protocole.
Il venait des systèmes chargés de protéger l’accès aux fonds.
Et c’est une leçon qui vaut des milliards.
Le Bitcoin élimine la nécessité de faire confiance à des tiers. Mais si vous confiez vos clés à un tiers, vous rétablissez cette confiance.
Analyse fondée sur des données publiques on-chain et des communiqués disponibles jusqu’au 4 novembre 2026. Les mécanismes exacts de l’incident chez Mercado Bitcoin et l’identité des responsables doivent encore être confirmés par l’enquête.
Sources : enquête de Bitquery · communiqué de Mercado Bitcoin · rapport technique de Binance