Nubank y Mercado Pago frenan transferencias de cripto por la falla de un proveedor externo

Los clientes de Nubank y de Mercado Pago en Brasil no pudieron mover con normalidad sus criptomonedas el viernes 6 de noviembre. Nubank, que tiene cerca de 120 millones de clientes en el país, suspendió los retiros y los depósitos de activos digitales por la “inestabilidad” de un proveedor externo de datos. Mercado Pago, la fintech de Mercado Libre, bloqueó de forma preventiva parte de las transferencias hacia billeteras externas y advirtió que los depósitos entrantes podían llegar con demora.

Ninguna de las dos atribuyó el problema a sus propios sistemas. El problema “no está relacionado con la infraestructura de la compañía y no pone en peligro la seguridad de los clientes”, dijo el banco digital en un comunicado, y agregó: “Todos los activos y la información siguen estando protegidos”. Esa misma noche informó que las operaciones se normalizaron desde las 22:00, hora de Brasil. Ninguna de las dos empresas identificó al proveedor afectado.

Dos fallas, ninguna propia

La interrupción de Nubank se limitó a Brasil y a los retiros y depósitos: la compra y la venta de cripto dentro de la aplicación siguieron funcionando, igual que en los demás países donde opera, según Infobae. Mercado Pago dio una explicación más precisa: el incidente ocurrió en una empresa que le presta el servicio de monitoreo de riesgos y prevención de lavado de dinero, la revisión que se hace antes de dejar salir o entrar una transferencia. Sin esa revisión disponible, la empresa prefirió frenar parte de los envíos.

No hay confirmación de que las dos fallas tengan el mismo origen. Valor Investe reportó que circulaban versiones sobre un posible ataque informático contra el proveedor, que ninguna de las empresas confirmó.

Una semana de ataques en el mercado cripto

El episodio llega en una racha difícil para el sector. Binance, la mayor plataforma de cripto del mundo, perdió unos US$6.300 millones en un robo el 29 de octubre y el viernes seguía restableciendo sus retiros de forma gradual. La brasileña Mercado Bitcoin también informó un ataque esa misma semana.

Además, Chainalysis, una de las principales empresas de análisis de transacciones de cripto que usan bancos y plataformas para detectar movimientos sospechosos, informó el 30 de octubre que un atacante usó “técnicas agénticas ofensivas” para entrar a sus sistemas y herramientas internas. Es la expresión que la industria usa para los ataques conducidos por agentes de IA, aunque la empresa no detalló cómo operaron. Después amplió el aviso: los nombres de usuario, las contraseñas cifradas y los accesos vigentes de todos sus usuarios quedaron expuestos. La empresa sacó de línea su servicio de monitoreo de transacciones y empezó a restablecerlo por etapas el mismo 6 de noviembre. Ni Nubank ni Mercado Pago dijeron que Chainalysis sea su proveedor, y Valor Investe señaló que no hay información que vincule estos casos.

Qué significa para las empresas de la región

El cliente de Nubank no sabe quién revisa sus transferencias, pero el viernes ese proveedor decidió si podía mover su dinero. Lo mismo pasa en cualquier empresa: buena parte de lo que se le promete al cliente depende de servicios de terceros que nadie mira hasta que fallan. Y con atacantes que ya usan agentes de IA, esos proveedores son un blanco cada vez más atractivo.

1. ¿Sabes qué proveedores pueden detener tu operación? Haz la lista de los servicios externos sin los cuales no puedes cobrar, despachar o atender, no solo la de los más caros.
2. ¿Qué haces cuando uno falla? Nubank y Mercado Pago tenían un plan: frenar, avisar y proteger los fondos. Define el tuyo antes de necesitarlo, con quién decide y qué se le dice al cliente.
3. ¿Tus contratos te obligan a saber a tiempo? Pide a tus proveedores críticos que te avisen de un incidente en horas, no en semanas, y que te digan qué datos tuyos quedaron expuestos.
4. ¿Tienes una alternativa? Para lo que no puede parar, evalúa un segundo proveedor o un proceso manual de respaldo, aunque sea más lento.
5. ¿Rotaste las claves? Si usas un servicio que reportó un ataque, cambia contraseñas y accesos de inmediato, como pidió Chainalysis a sus clientes.

Qué mirar

Si Nubank o Mercado Pago identifican a sus proveedores y explican qué pasó, si el Banco Central de Brasil pide información a las instituciones afectadas, y cuándo Chainalysis termina de restablecer sus servicios para todos sus clientes.

A partir de información de Nubank (comunicados del 6 de noviembre, citados por Valor Investe e InfoMoney) y Chainalysis (aviso de seguridad del 30 de octubre).