Mercado Bitcoin 於 2026 年 11 月 2 日上午 9 時 56 分（巴西時間）宣布，已迅速控制一宗安全事件。但 Bitquery 的鏈上分析指出，與該交易所相關的客戶存款地址，在公告後仍持續轉出資產，最晚至當日下午 1 時 56 分。
公告後的轉帳與簽署風險
Bitquery 稱，11 月 2 日上午 9 時 27 分至下午 1 時 56 分（巴西時間），共有 36,042 個以太坊客戶存款地址被清空，涉及約 26.6 萬美元。這筆金額只佔整體損失的一小部分，但轉帳延續至交易所宣布控制事件後近四小時。
客戶存款地址用來接收加密資產；交易所通常再將資產歸集至供日常交易使用的熱錢包。從存款地址轉出資產，需要相應私鑰授權。Bitquery 指出，這些轉帳由存款地址直接授權，顯示攻擊者可能取得了地址私鑰，或能使用代為簽署交易的系統。研究人員也提醒，交易所通常以單一主密鑰產生存款地址的金鑰，因此其他客戶地址是否仍可能受到影響，有待釐清。這是 Bitquery 對潛在風險的判斷，並非已確認的私鑰外洩範圍。
損失估算與後續安排
各方公布的金額尚不一致：初步估算為超過 4,000 萬美元；Mercado Bitcoin 更新後的常見問題頁面稱受影響資產約為 3,630 萬美元；Bitquery 則估計，11 條區塊鏈上的遭竊資產合計為 4,860 萬美元。Mercado Bitcoin 的公開更新，尚未解釋其「已控制」說法與後續轉帳之間的落差。
Mercado Bitcoin 表示會以自有資金彌補用戶損失。Bitquery 建議，在交易所確認舊存款地址安全之前，客戶不要重複使用這些地址。按當時公布的恢復計畫，11 月 9 日起僅開放查看餘額；存款、提款及交易尚無重啟日期。
本文依據 2026 年 11 月 6 日刊出的Decrypt 原文報導整理；上述時間與安排均為該報導當時的資訊。
