Несанкционированный вывод средств из кошельков Mercado Bitcoin: детальный AML-анализ хищения $40 млн

2 ноября 2026 года крупнейшая латиноамериканская биржа Mercado Bitcoin столкнулась с масштабным инцидентом безопасности. Злоумышленники осуществили несанкционированный вывод криптоактивов из биржевых кошельков по меньшей мере в 10 различных блокчейнах.

По первичным данным, общий ущерб уже превышает $40 млн (окончательная сумма и точные причины взлома продолжают уточняться).

Команда AML-аналитиков КоинКит представляет оперативный разбор ситуации, анализирует реакцию биржи и эмитентов стейблкоинов, а также отслеживает первые маршруты движения похищенных активов.

 

Введение

Чтобы лучше понимать масштаб происшествия, выделим три ключевых момента:

• Мультичейн-атака — вывод средств происходил одновременно в множестве независимых сетей (Ethereum, Bitcoin, Solana, TRON, Polygon, Arbitrum, Avalanche, Stellar и др.).

• Биржевой кошелек (горячий/холодный) — хранилище криптобиржи, с которого проводятся клиентские транзакции или хранятся резервы. Компрометация ключей от таких кошельков дает хакерам прямой доступ к активам.

• Заморозка стейблкоинов (Blacklisting) — эмитент стейблкоинов (например, Tether) имеет возможность блокировать адреса злоумышленников, делает украденные USDT недействительными и «замораживает» их прямо на кошельке хакера.

Что произошло?

2 ноября 2026 года зафиксирован массовый вывод средств с кошельков, связанных с Mercado Bitcoin. Злоумышленник успел захватить широкий спектр активов:

• Bitcoin (BTC): ~106,07 BTC

• Ethereum (ETH): ~2 852,07 ETH

• Solana (SOL): ~10 695,56 SOL

• Stellar (XLM): ~6,72 млн XLM

• Avalanche (AVAX): ~77 012 AVAX

• TRON (TRX): ~1,71 млн TRX

• Стейблкоины: Свыше 3,76 млн USDT (в сетях TRON и Solana), около 3,2 млн USDC (в Ethereum и Stellar), а также EURC и другие токены стандартов ERC-20, SPL и TRC-20.

Реакция Mercado Bitcoin

Биржа официальном подтвердила инцидент и заявила о его локализации. Руководство подчеркнуло, что клиенты не понесли убытков, а утечки персональных данных не произошло. В качестве предосторожности ввод и вывод средств временно приостановлены.

Движение средств и оперативная заморозка

Наши аналитики зафиксировала первые шаги злоумышленника и реакцию сервисов риск-мониторинга.

Для удобства адреса кошельков сокращены:

• EVM-адрес хакера: 0xe485...2478

• Bitcoin-адрес: 19qGps...DZp

• Solana-адрес: 3YX6WH...W97J

• TRON-адрес: TEX3Hu...DyA5

• Stellar-адрес: GDXYRI...SOLP

1. Оперативная блокировка более $4,5 млн в USDT

Компания Tether сработала максимально оперативно. Генеральный директор Tether Паоло Ардоино подтвердил заморозку более 4,5 млн USDT, связанных с адресами атаки:

• В сети Ethereum: заблокировано 3 059 424 USDT.

• В сети TRON: заблокировано 708 243 USDT.

2. Отслеживание по ключевым сетям

Bitcoin (BTC)

Все похищенные средства (~106,07 BTC) на данный момент остаутся на первичном адресе злоумышленника 19qGps...DZp без движения.

TRON (TRX)

После блокировки USDT в сети TRON хакер перевел оставшиеся средства (~1,7 млн TRX) на следующий адрес TJiRoq...YWAmh, где они пока также находятся без движения.

Ethereum (ETH & USDC)

В сети Ethereum похищенный USDT был оперативно заблокирован, после чего остальные активы разделились по трем основным адресам:

1. Кошелек 0x3ce7...c779: Получил 1 ETH и 2 236 100 USDC. По состоянию на текущий момент средства в USDC остаются незамороженными.

2. Кошелек 0xcedf...1279: Получил 200 ETH.

3. Кошелек 0x8419...f320: Получил наибольшую часть — 2 800 ETH.

Выводы AML-аналитиков

Данный взлом выделяется своей широкой географией по сетям: хакер атаковал сразу 10 блокчейнов. Однако оперативная реакция компании Tether позволила «урезать» добычу злоумышленника на несколько миллионов долларов еще до того, как он успел отправить стейблкоины в мосты или миксеры.

Расследование инцидента продолжается. Аналитическая команда Coinkyt отслеживает кошельки в остающихся сетях (Solana, Stellar, Avalanche, Arbitrum и др.), а также следит за перемещением незаблокированных активов USDC и ETH. Все выявленные адреса уже добавлены в базы риск-мониторинга.