Hackers causam caos no mercado cripto brasileiro: fintechs e exchanges travam saques (2026)

A primeira semana de novembro de 2026 foi de sustos para quem tem cripto no Brasil. Em poucos dias, a Mercado Bitcoin — a maior corretora de criptomoedas do país — foi atacada, e Nubank e Mercado Pago pausaram operações com criptomoedas. As redes encheram de “hackearam os bancos”, “ataque com IA”, “Pix caiu”. Antes de entrar no pânico, vale separar o que é fato do que é boato — porque a história real, embora menos cinematográfica, é mais útil para quem precisa se proteger. Este post explica o que aconteceu, o que conecta os casos, qual é a parte verdadeira sobre “ataques com IA” e o que fazer com isso.

O que aconteceu na semana

Mercado Bitcoin: o ataque confirmado

Esse é o caso concreto. No começo da semana (1–2 de novembro), a Mercado Bitcoin suspendeu saques e depósitos após um incidente de segurança. Empresas de análise on-chain apontam que mais de US$ 46 milhões saíram da plataforma; a corretora não confirmou o número, mas comunicou que vai absorver cerca de US$ 40 milhões em perdas. A empresa afirmou que o ataque “não prejudicou os clientes” e não houve vazamento de dados — embora especialistas (sem identificação) tenham contestado, apontando evidências on-chain de fundos retirados de algumas carteiras de clientes. A Tether informou ter congelado cerca de US$ 4,5 milhões, e outras plataformas, mais US$ 2 milhões; a Chainalysis está rastreando o resto.

Nubank e Mercado Pago: a pausa (e o boato)

Aqui é preciso cuidado para não repetir manchete errada. Na sexta (6/11), o Nubank suspendeu depósitos e saques de criptomoedas no Brasil, e o Mercado Pago bloqueou algumas transferências de cripto para carteiras externas, por precaução. Os dois não disseram ter sido hackeados: o Nubank afirmou que o problema não está na sua infraestrutura e que “ativos e informações seguem protegidos”; o Mercado Pago atribuiu a instabilidade a um incidente em um fornecedor de monitoramento de risco e prevenção à lavagem de dinheiro (que não nomeou). Repare no que não aconteceu: não foi o Pix, não foram “os bancos”, não há perda de cripto de cliente confirmada. A ligação com um “ataque hacker a provedor” nasceu de um post em rede social, sem fonte e sem nomear o provedor. Pode vir a se confirmar — mas, até agora, é suspeita, não fato.

E tudo isso aconteceu uma semana depois do maior roubo cripto da história, o ataque de US$ 6,3 bilhões à Binance — o que deixou o mercado inteiro em estado de alerta e ajudou a transformar cada instabilidade em manchete de “novo ataque”.

O que realmente conecta os casos

A leitura preguiçosa é “hackearam os bancos brasileiros”. A leitura correta é outra, e mais incômoda: o elo comum são os fornecedores e a infraestrutura de cripto, não o cofre de cada instituição. A Mercado Bitcoin foi atingida diretamente; Nubank e Mercado Pago pararam porque um terceiro no caminho (provedor de dados, de custódia, de prevenção a fraude) ficou instável. É exatamente o padrão que vimos na Binance e, antes, na Bybit: o atacante não precisa invadir o alvo final — basta comprometer um elo da cadeia de que o alvo depende. Para quem opera uma fintech, a pergunta certa não é só “meu sistema é seguro?”, e sim “de quantos fornecedores a minha operação depende, e o que acontece se um deles cair ou for invadido?”.

Como reduzir o risco de fornecedor

Não dá para auditar o código de cada parceiro, mas dá para reduzir bastante o estrago quando um deles falha. O básico que separa um susto de uma crise:

1. Inventarie os fornecedores críticos. Liste quem toca dinheiro ou dado sensível (custódia, dados, antifraude, pagamento), qual permissão cada um tem e por onde ele entra na sua operação. Não dá para proteger o que você não mapeou.
2. Menor privilégio para integrações. Corte escopos amplos de OAuth, tokens e chaves de API que o fornecedor não precisa de verdade, e rotacione credenciais com regularidade.
3. Tenha um botão de pausa. Saiba, antes do incidente, como isolar ou desligar rápido a conexão de um fornecedor — e teste esse procedimento, não deixe para descobrir no dia.
4. Monitore o comportamento da integração, não só a sua aplicação: atividade anômala “só de aplicação” (sem usuário) é um dos primeiros sinais de abuso.
5. Coloque limites nos fluxos de valor. Allowlist de destino, aprovação de mais de uma pessoa e limites por janela de tempo fazem com que um fornecedor comprometido não vire saque ilimitado.

E a tal “IA”? O que é real e o que é exagero

Circulou que os ataques estariam sendo feitos “com Grok, Claude e outras IAs”. Aqui é importante ser honesto: nenhuma investigação pública ligou um produto de IA específico a esses incidentes. O que existe, e é documentado, é uma tendência real — e ela é séria o suficiente sem exagero. A Mandiant (Google) rastreia um grupo financeiramente motivado, o BREEZE COMET, que mira o setor financeiro brasileiro — bancos, meios de pagamento, fintechs, exchanges — e usa IA generativa e modelos de linguagem para escrever scripts sob medida: automatizar varredura de rede, teste de credenciais, entrega de malware e roteamento por vítima. A IA, aqui, é um acelerador — ajuda o atacante a construir ferramentas mais rápido e a rodar campanhas contra vários alvos ao mesmo tempo. O acesso inicial, porém, continua banal: password spraying, golpe por telefone (vishing), ferramentas de acesso remoto instaladas por um falso “suporte de TI”, mirando credenciais e certificados para emitir transferências como se fossem a própria empresa, inclusive no Pix.

Ou seja: a IA não inventou uma mágica nova. Ela barateou e escalou o que o atacante já fazia. E isso muda a conta da defesa: se o adversário testa mais rápido, com mais criatividade e contra mais alvos, testar a própria superfície “uma vez por ano, no feijão com arroz” deixou de ser suficiente.

Como a No Vuln pensa esse problema

É aqui que a nossa abordagem se encaixa, e não é discurso de marketing: a No Vuln testa do jeito que esses atacantes testam. A mesma criatividade (encadear falhas pequenas até virar impacto grande), a mesma abrangência (olhar a aplicação, as integrações, os fornecedores e as identidades de máquina, não só a porta da frente) e a mesma velocidade que a automação dá ao adversário hoje. A diferença é o lado da mesa: quem conduz é um pesquisador humano, que decide o que é risco real, encadeia as brechas e prova o impacto — em vez de entregar uma lista de alertas de scanner. A tecnologia acelera o trabalho; o julgamento sobre o que importa continua sendo da pessoa.

Na prática, é esse olhar de adversário que encontra o atalho antes do atacante: o fornecedor com permissão demais, o fluxo de saque que aceita ser induzido, a credencial de automação que vira porta dos fundos. Se a sua empresa movimenta dinheiro ou dados — fintech, meio de pagamento, exchange, SaaS —, fale com um pesquisador. E, de forma mais ampla, um pentest periódico, feito com a mentalidade de quem realmente ataca, é o que transforma “será que a gente tá exposto?” em uma resposta concreta — antes de virar a próxima manchete.

Fontes: Bloomberg Línea, The Record (Mercado Bitcoin), Movimento Econômico e Cyberpress (sobre o grupo BREEZE COMET, rastreado pela Mandiant). Os valores e a atribuição podem ser revisados conforme as investigações avançam; até a publicação, não havia confirmação oficial de invasão aos sistemas do Nubank ou do Mercado Pago, nem de uso de um produto de IA específico nos ataques.