Mercado Bitcoin 确认安全事件，研究人员追踪多链钱包资金转出
Mercado Bitcoin 确认安全事件并暂停充值、提现。Bitquery 估算涉及 10 条链、约 4,850 万美元，并报告充值地址仍在被扫走资金；数字未经独立核实。交易所称客户没有损失、没有数据泄露，攻击入口尚不明确。
- 披露时间
- 2026年11月2日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Mercado Bitcoin 客户及使用其充值地址的集成；涉及交易所热钱包
- crypto
- 在野利用
- 已发现
- Mercado Bitcoin 确认安全事件，Bitquery 报告钱包未授权转账。
发生了什么
Mercado Bitcoin 的公开承认确立了平台安全事件，而不只是无法解释的转账或单个客户账户被盗。声明未披露入侵入口、失陷软件版本、最终财务影响或恢复期限。本次可读声明没有给出公开补丁，也没有要求用户重置密码。
Bitquery 报告 10 条链上的热钱包资金转出，并称充值地址扫款持续至交易所宣布迅速遏制之后。其估算未经独立核实：部分来源钱包归属依赖标签、行为及时间判断，尤其是 Solana、Tron 和 Stellar。4,850 万美元按转账时价格计算，不含无价格的代币；其中 121 万美元来自交易稀少的 EVA 代币，报告给出去除它后约 4,720 万美元的数字。两者都不是交易所确认的最终损失。
报告中的 35,853 个以太坊充值地址是地址数量，不是独立客户人数。地址签署转账不能区分私钥被盗和签名服务遭滥用。研究关于主密钥及共享供应商的推测仍是假设，不是已确定原因；另一起 29.8 万美元转出及 BitMart 标签，也不能证明 BitMart 被攻破或事件共用供应商。
Bitquery 估算观察截止时 Tether 和 Paxos 冻结约 730 万美元。冻结不等于返还，资金留在钱包也不等于一定可追回。报告 FAQ 将发行方分项分别取整为 590 万及 150 万美元，与标题中的 730 万美元并不完全相加吻合；这一差异意味着这些取整数字不能当成已审计总额。交易所的客户保障及遏制说法仍是厂商声明，与研究人员的观察分开。没有证据证明本事件与币安事件有关。
案发时间线
2026年11月2日
交易所承认安全事件，并预防性暂停资金转入转出
官方声明称某个系统的事件已迅速遏制，客户没有损失、没有数据泄露。BitNotícias 刊登了包含暂时停止充值、提现安排的完整声明。
2026年11月2日
Bitquery 发布十链调查，观察截止时间晚于官方声明
以太坊观察截至 15:46 UTC，其他链在 14:16 至 15:47 UTC 之间核查。报告估算涉及 4,850 万美元，截至至少 15:44 UTC 有 35,853 个以太坊充值地址被扫走资金。这些是未经独立核实的研究数字，不是交易所确认的损失或客户人数。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Mercado Bitcoin 官方声明一手来源可读公开嵌入确认安全事件，并包含迅速遏制、客户无损失及无数据泄露的说法。充提安排的句子被截断；完整暂停措辞由 BitNotícias 刊登。
- Bitquery 多链原始调查一手来源原始链上研究估算涉及 4,850 万美元、35,853 个以太坊充值地址及 730 万美元冻结资金，观察截至 11 月 2 日下午 UTC。这些未经独立核实的数字及钱包标签不能确定攻击入口或最终损失。
- BitNotícias 刊登交易所声明的报道刊登暂时停止充值、提现及客户无损失的声明；较早的初步 4,000 多万美元估算来自 Hypernative，并非该媒体独立证实。
- Mercado Bitcoin 官方公开嵌入一手来源实际读到的原帖公开嵌入确认事件及遏制、客户损失和数据泄露说法，但充提暂停句子尚未完整显示就被截断。