Hackers provocan el caos en el mercado cripto brasileño: fintechs y exchanges frenan los retiros (2026)

La primera semana de noviembre de 2026 fue de sustos para quien tiene cripto en Brasil. En pocos días, Mercado Bitcoin — el mayor exchange de criptomonedas del país — fue atacado, y Nubank y Mercado Pago pausaron operaciones con criptomonedas. Las redes se llenaron de “hackearon los bancos”, “ataque con IA”, “se cayó el Pix”. Antes de entrar en pánico, conviene separar el hecho del rumor — porque la historia real, aunque menos cinematográfica, es más útil para quien necesita protegerse. Este artículo explica qué pasó, qué conecta los casos, qué es cierto sobre los “ataques con IA” y qué hacer con ello.

Qué pasó durante la semana

Mercado Bitcoin: el ataque confirmado

Este es el caso concreto. A principios de la semana (1–2 de noviembre), Mercado Bitcoin suspendió retiros y depósitos tras un incidente de seguridad. Firmas de análisis on-chain apuntan a que más de US$ 46 millones salieron de la plataforma; el exchange no confirmó la cifra, pero comunicó que absorberá unos US$ 40 millones en pérdidas. La empresa afirmó que el ataque “no perjudicó a los clientes” y que no hubo filtración de datos — aunque especialistas (sin identificar) lo contestaron, señalando evidencia on-chain de fondos retirados de algunas carteras de clientes. Tether informó haber congelado unos US$ 4,5 millones, y otras plataformas, US$ 2 millones más; Chainalysis está rastreando el resto.

Nubank y Mercado Pago: la pausa (y el rumor)

Aquí hay que tener cuidado para no repetir un titular equivocado. El viernes (6/11), Nubank suspendió depósitos y retiros de criptomonedas en Brasil, y Mercado Pago bloqueó algunas transferencias de cripto a carteras externas, por precaución. Ninguno dijo haber sido hackeado: Nubank afirmó que el problema no está en su infraestructura y que “los activos e información siguen protegidos”; Mercado Pago atribuyó la inestabilidad a un incidente en un proveedor de monitoreo de riesgo y prevención de lavado de dinero (que no nombró). Fíjate en lo que no pasó: no fue el Pix, no fueron “los bancos”, no hay pérdida de cripto de clientes confirmada. El vínculo con un “ataque hacker a un proveedor” nació de una publicación en redes sociales, sin fuente y sin nombrar al proveedor. Puede confirmarse más adelante — pero, hasta ahora, es sospecha, no hecho.

Y todo esto pasó una semana después del mayor robo cripto de la historia, el ataque de US$ 6.300 millones a Binance — lo que dejó a todo el mercado en alerta y ayudó a convertir cada inestabilidad en un titular de “nuevo ataque”.

Qué conecta realmente los casos

La lectura perezosa es “hackearon los bancos brasileños”. La lectura correcta es otra, y más incómoda: el eslabón común son los proveedores y la infraestructura de cripto, no la bóveda de cada institución. Mercado Bitcoin fue golpeado directamente; Nubank y Mercado Pago pararon porque un tercero en el camino (proveedor de datos, de custodia, de prevención de fraude) se volvió inestable. Es exactamente el patrón que vimos en Binance y, antes, en Bybit: el atacante no necesita invadir el objetivo final — basta con comprometer un eslabón de la cadena de la que el objetivo depende. Para quien opera una fintech, la pregunta correcta no es solo “¿mi sistema es seguro?”, sino “¿de cuántos proveedores depende mi operación, y qué pasa si uno cae o es invadido?”

Cómo reducir el riesgo de proveedor

No puedes auditar el código de cada socio, pero sí reducir mucho el daño cuando uno de ellos falla. Lo básico que separa un susto de una crisis:

1. Inventaria tus proveedores críticos. Lista quién toca dinero o datos sensibles (custodia, datos, antifraude, pagos), qué permiso tiene cada uno y por dónde entra en tu operación. No puedes proteger lo que no mapeaste.
2. Menor privilegio para las integraciones. Recorta los alcances amplios de OAuth, tokens y claves de API que el proveedor no necesita de verdad, y rota las credenciales con regularidad.
3. Ten un botón de pausa. Sabe, antes del incidente, cómo aislar o apagar rápido la conexión de un proveedor — y prueba ese procedimiento, no lo dejes para el día.
4. Monitorea el comportamiento de la integración, no solo tu aplicación: la actividad anómala “solo de aplicación” (sin usuario) es una de las primeras señales de abuso.
5. Pon límites en los flujos de valor. Allowlists de destino, aprobación de más de una persona y límites por ventana de tiempo evitan que un proveedor comprometido se vuelva un retiro ilimitado.

¿Y lo de la “IA”? Qué es real y qué es exageración

Circuló que los ataques se estarían haciendo “con Grok, Claude y otras IAs”. Aquí es importante ser honesto: ninguna investigación pública vinculó un producto de IA específico a estos incidentes. Lo que sí existe, y está documentado, es una tendencia real — y es seria sin exageración. Mandiant (Google) rastrea a un grupo con motivación financiera, BREEZE COMET, que apunta al sector financiero brasileño — bancos, medios de pago, fintechs, exchanges — y usa IA generativa y modelos de lenguaje para escribir scripts a medida: automatizar el escaneo de red, la prueba de credenciales, la entrega de malware y el enrutamiento por víctima. La IA, aquí, es un acelerador — ayuda al atacante a construir herramientas más rápido y a correr campañas contra varios objetivos a la vez. El acceso inicial, en cambio, sigue siendo banal: password spraying, estafas telefónicas (vishing), herramientas de acceso remoto instaladas por un falso “soporte de TI”, buscando credenciales y certificados para emitir transferencias como si fueran la propia empresa, incluso por Pix.

Es decir: la IA no inventó una magia nueva. Abarató y escaló lo que el atacante ya hacía. Y eso cambia la cuenta de la defensa: si el adversario prueba más rápido, con más creatividad y contra más objetivos, probar la propia superficie “una vez al año, a lo básico” dejó de ser suficiente.

Cómo piensa No Vuln este problema

Aquí es donde encaja nuestro enfoque, y no es discurso de marketing: No Vuln prueba como prueban estos atacantes. La misma creatividad (encadenar fallas pequeñas hasta volverse un impacto grande), la misma amplitud (mirar la aplicación, las integraciones, los proveedores y las identidades de máquina, no solo la puerta de entrada) y la misma velocidad que la automatización le da hoy al adversario. La diferencia es el lado de la mesa: quien conduce es un investigador humano, que decide qué es riesgo real, encadena las brechas y demuestra el impacto — en vez de entregar una lista de alertas de escáner. La tecnología acelera el trabajo; el juicio sobre lo que importa sigue siendo de la persona.

En la práctica, es esa mirada de adversario la que encuentra el atajo antes que el atacante: el proveedor con demasiados permisos, el flujo de retiro que acepta ser inducido, la credencial de automatización que se vuelve una puerta trasera. Si tu empresa mueve dinero o datos — fintech, medios de pago, exchange, SaaS — habla con un investigador. Y, de forma más amplia, un pentest periódico, hecho con la mentalidad de quien realmente ataca, es lo que convierte “¿estamos expuestos?” en una respuesta concreta — antes de que se vuelva el próximo titular.

Fuentes: Bloomberg Línea, The Record (Mercado Bitcoin), Movimento Econômico y Cyberpress (sobre el grupo BREEZE COMET, rastreado por Mandiant). Las cifras y la atribución pueden revisarse conforme avanzan las investigaciones; hasta la publicación, no había confirmación oficial de intrusión en los sistemas de Nubank o Mercado Pago, ni del uso de un producto de IA específico en los ataques.