Mercado Bitcoin 承諾全額賠付 $46M 簽名漏洞損失

Mercado Bitcoin 於週一 2026年11月2日 確認安全事件，暫停所有存取款，隨後承諾賠付所有用戶損失；攻擊者使用有效加密簽名憑證，估計盜走 $46 million。受影響的參與者包括該交易所的客戶——他們在暫停期間無法存取款——以及交易所本身，後者如今既承擔賠付承諾，也須進行凍結資產、追蹤至少十條區塊鏈網路錢包等營運工作。

這起漏洞之所以此刻值得關注，在於其手法。攻擊者無須偽造簽名：他們使用的是有效簽名憑證，因此授權與未授權交易產生的簽名在密碼學上完全相同。這使漏洞在區塊鏈層面直到資金已轉移前都無法被偵測，偵測責任因此落在交易所控制、金鑰管理與事後追蹤上，而非鏈上驗證。

Mercado Bitcoin 確認了什麼、合作夥伴凍結了什麼

據 CoinDesk 報導，Mercado Bitcoin 在近 $40 million 駭客事件後承諾賠付所有用戶損失，Tether、Circle 與 Chainalysis 等合作夥伴協助凍結 $11 million 被盜資產。The Block 報導，巴西最大加密貨幣交易所確認安全事件並暫停提款，Tether 凍結了與攻擊者相關的逾 4.5 million USDT。這些凍結是具名交易對手採取的具體、可驗證行動，而非泛泛保證。

Cointelegraph 報導，該交易所在漏洞後暫停存取款，同時表示客戶資金與資料安全、客戶未受損失。TechTimes 補充了機制：攻擊者使用有效加密簽名憑證，盜空至少十條區塊鏈網路上的錢包。據 Decrypt 報導，該交易所週一清晨在 X 宣布暫停，稱已「發現並迅速控制我們其中一個系統的安全事件」。

因此，已確認的變化包括：存取款暫停、與 Tether、Circle 及 Chainalysis 協調的 $11 million 凍結、Tether 凍結的逾 4.5 million USDT，以及賠付用戶損失的承諾。涉及的工具是中心化交易所持有的客戶加密貨幣餘額現貨託管，而非衍生品或保證金產品，因此相關曝險為託管、交易對手與營運風險，而非槓桿或清算風險。

為何控制說法與鏈上活動出現落差

TechTimes 報導，獨立鏈上調查人員記錄到，在 Mercado Bitcoin 稱事件已控制後數小時，與漏洞相關的地址仍持續接收與轉移資金。交易所公開聲明與觀察到的錢包活動之間的落差，是核心未解事實。這本身不能證明控制失敗，但確實意味著在沒有交易所事件報告與調查人員原始資料的情況下，公開時間線尚無法與鏈上紀錄對照。

Cointelegraph 報導與漏洞相關的錢包在交易暫停後仍活躍，指向同一方向。交易所稱客戶資金安全，可能指其內部會計與賠付立場，而非被盜資產本身的安全。這是不同的主張，將其混為一談正是讀者可能誤判局勢之處。

對客戶而言，暫停期間的實際影響很直接：存取款不可用，這對依賴該交易所提供流動性或結算的人事關重大。賠付承諾為餘額提供財務後盾，但在交易所重開這些通道前不會恢復存取，也無法自行解決憑證如何遭竊的問題。

承諾後仍適用的風險界線

賠付承諾降低了客戶對此特定事件的曝險，但未消除中心化加密託管周邊的風險。提款暫停期間，價格波動仍影響任何 BTC 或其他餘額的價值，因為客戶在關閉期間無法調整部位。通道重開時，交易所的流動性與價差狀況可能不同。在餘額提出或補救完成並記錄前，託管與交易對手風險仍由交易所承擔。

鑑於涉及十條鏈，網路風險也相關：追蹤與追回取決於各網路的工具，以及穩定幣發行商與分析公司的合作。穩定幣儲備與脫鉤考量適用於與 USDT 相關的凍結，因為凍結代幣的價值取決於發行商的贖回機制。隨著巴西當局與合作夥伴評估事件，監管與司法管轄風險由交易所承擔。

營運失誤風險涵蓋憑證管理失敗本身，這是公開紀錄尚未回答的根本問題。

來源文件查核接下來應確認什麼

確切損失數字需要核對：CoinDesk 引用近 $40 million，而 The Block、Cointelegraph 與 TechTimes 報導 $46 million。差異可能反映凍結時機或駭客事件當下的資產估值，但那是推論，不是確認。

受影響網路的完整清單（TechTimes 描述為至少十條）尚未由交易所公布，各合作夥伴在凍結 $11 million 中的具體角色，需要官方聲明而非二手報導來確認。

賠付承諾也缺乏公布的補救計畫與時間表，客戶尚無法核實賠付的方式與時間。最重要的是，控制公告後資金仍持續移動，需要 Mercado Bitcoin 的直接解釋。在這些文件可得之前，提款暫停、$11 million 凍結、Tether 凍結逾 4.5 million USDT，以及賠付承諾均屬已確認，而漏洞全貌與補救機制仍待釐清。

持有餘額的讀者應先查閱交易所官方狀態更新與自身帳戶紀錄，再假定存取或賠付時間。

參考資料

• https://www.coindesk.com/business/2026/11/03/mercado-bitcoin-pledges-to-cover-all-user-losses-after-near-usd40-million-hack
• https://cointelegraph.com/news/mercado-bitcoin-hack
• https://www.theblock.co/news/defi/2026-11-02-mercado-bitcoin-hack-46-million-brazil-exchange-432333
• https://www.techtimes.com/articles/329928/20261103/mercado-bitcoin-hack-drains-46-million-across-ten-chains-valid-signatures.htm