El grupo bancario francés Crédit Mutuel Arkéa confirmó un ciberataque en el que transferencias fraudulentas sacaron fondos de la cuenta propia de la institución y los llevaron a criptomonedas a través de plataformas especializadas. La escala total probablemente supere los 133 millones de dólares.

Crédit Mutuel Arkéa es uno de los bancos más importantes de Francia, con más de 12,000 empleados y más de 5.8 millones de socios y clientes. Los activos totales del grupo ascienden a 211,500 millones de euros (238,100 millones de dólares), y posee la filial online Fortuneo.

Cabe destacar que el caso no fue hecho público por el banco. El investigador independiente on-chain ZachXBT reveló el robo a principios de noviembre de 2026, reconstruyendo el rastro de los fondos robados a través de blockchains públicas. Arkéa confirmó el ataque solo dos días después, declarando que había contenido el incidente y que los activos de los clientes no se vieron afectados. ZachXBT, por su parte, advirtió que su estimación de 133 millones de dólares podría aumentar, porque el ataque se extendió durante varios días y pudo haber involucrado más transacciones extrabursátiles (OTC).

Arkéa confirma el ataque, pero no el monto

Según el banco, el ataque permitió transferencias fraudulentas desde la cuenta propia de la institución, y los fondos finalmente se movieron a cripto a través de plataformas especializadas. La secuencia destaca porque el rastro on-chain fue público antes de que el banco emitiera su declaración. Por lo tanto, durante dos días, cualquier persona con acceso a datos de blockchain pudo rastrear la salida de fondos.

Arkéa respaldó la cifra de 133 millones de dólares de ZachXBT solo como un orden de magnitud. El banco añadió que el volumen de transacciones fraudulentas no tiene por qué coincidir con la pérdida final. Una parte de los fondos robados permanece bloqueada, pero la institución dice que es demasiado pronto para una cifra definitiva y no ha revelado cuán grande es la parte bloqueada. En la práctica, Arkéa deja abierta la cuestión de si el daño final estará por debajo o por encima de la estimación del investigador.

Los clientes percibieron el incidente solo como retrasos en transferencias individuales, según el banco. Este había suspendido previamente ciertas transacciones como medida de precaución, y para la mañana de la confirmación casi todas las operaciones funcionaban de nuevo. Arkéa subraya que sus equipos activaron las medidas de seguridad necesarias inmediatamente después del descubrimiento para evitar más movimientos fraudulentos.

Medido frente a los activos totales del grupo, la suma involucrada es comparativamente pequeña: 133 millones de dólares equivalen a alrededor del 0.06% de 238,100 millones de dólares. "Ya podemos afirmar que los montos involucrados no son en absoluto capaces de socavar la fortaleza y solidez financiera de Crédit Mutuel Arkéa", dijo el banco.

Cómo salieron los fondos a través de exchanges instantáneos y Monero

ZachXBT rastreó el camino de los fondos on-chain. Primero, una entidad europea no identificada retiró más de 106 millones de dólares de exchanges centralizados. Otros 27 millones de dólares aproximadamente se retiraron después, según ZachXBT. El total de más de 133 millones de dólares proviene, por lo tanto, de dos oleadas, siendo la segunda considerablemente más pequeña que la primera.

El atacante luego convirtió los fondos de USDC a ETH, entre otras conversiones. A continuación, el dinero pasó por exchanges instantáneos como WellWallet y Kyrrex y se movió a Monero (XMR) a través de Wagyu. Además, el atacante usó bridges para distribuir partes del producto en varias cadenas. Cada uno de estos pasos dificulta el rastreo. Los exchanges instantáneos suelen manejar directamente intercambios individuales entre dos criptomonedas, mientras que el paso a Monero pesa más, porque la privacy coin oculta las direcciones y los montos que siguen siendo visibles abiertamente en Ethereum.

Parte de los fondos estuvo casi fuera de alcance desde el principio. Según la evaluación del investigador, más de 30 millones de dólares ya estaban fuera de rutas de congelación simples, lo que atribuye a un reporte tardío a las autoridades. El emisor de USDC, por ejemplo, puede bloquear direcciones y así congelar saldos, mientras que Ether no tiene tal guardián. En consecuencia, el daño final también depende de cuánto de los fondos logró bloquear realmente el banco.

La atribución llama la atención en robos de este tamaño porque el grupo Lazarus de Corea del Norte ha figurado en una serie de importantes hurtos de criptomonedas documentados en evaluaciones gubernamentales y de las Naciones Unidas. ZachXBT también comentó sobre quién está detrás del ataque. Dijo tener "alta confianza" en que el atacante no pertenece al grupo Lazarus de Corea del Norte. Ni el banco ni el investigador han identificado a un perpetrador hasta ahora.

Bitquery mide de manera más estrecha que ZachXBT

Las cifras de pérdida en circulación provienen de dos mediciones, y sumarlas sería un error. La más alta proviene de ZachXBT, quien cita más de 133 millones de dólares y considera posible una cifra mayor con más transacciones OTC. En tales operaciones, dos partes negocian bilateralmente, a menudo a través de intermediarios especializados y fuera de los libros de órdenes públicos, por lo que no necesariamente aparecen en los datos de los exchanges. Los 118 millones de euros citados en algunos reportes equivalen a los mismos 133 millones de dólares tras la conversión de divisas y no constituyen una medición separada.

El proveedor de datos Bitquery, en cambio, contabiliza 108.8 millones de dólares en retiros de USDC desde billeteras que atribuye a Kraken, Crypto.com y OKX. Los fondos fueron a 15 direcciones dentro de una ventana de medición de aproximadamente 21 horas entre el 1 y el 2 de noviembre de 2026. Excluyendo dos direcciones que están solo indirectamente vinculadas quedan 95.7 millones de dólares. El alcance de cada conteo explica, por lo tanto, parte de la brecha, ya que ZachXBT captura ambas oleadas de salida mientras que la ventana de Bitquery es más estrecha.

El día de la confirmación, Bitquery aún veía alrededor de 42.6 millones de dólares en billeteras de Ethereum vinculadas, mantenidas principalmente en ETH. Esa porción es al menos visible on-chain. Sin embargo, la medición tiene un punto ciego: Bitquery no ve transferencias bancarias, por lo que no puede documentar de forma independiente la ruta desde la cuenta del banco hacia la cripto. El vínculo entre Arkéa y las billeteras se basa, por lo tanto, en la reconstrucción de ZachXBT, así como en la declaración del banco de que los fondos fluyeron hacia la cripto. La institución no ha confirmado ninguna de estas cifras como un monto exacto.

Plataforma de proveedor de servicios sospechosa como punto de entrada

El banco ofrece solo un relato breve del punto de entrada. Según su versión, los atacantes entraron al sistema a través de la plataforma de un proveedor de servicios y enviaron dinero a otros bancos. Un punto de entrada de este tipo ubica el caso entre las compromise de terceros o de cadena de suministro, en las que los atacantes alcanzan a una institución apuntando a una plataforma externa dentro de su cadena operativa. Arkéa no ha confirmado si esta ruta también permitió la conversión a cripto, y los datos on-chain no pueden capturar precisamente este paso. El banco negó cualquier acceso a través de su filial online Fortuneo, y dice que los atacantes no usaron cuentas de clientes. Oficialmente, entonces, el método exacto sigue sin explicarse.

La configuración del caso es inusual. La víctima es el banco mismo, en lugar de clientes individuales o un exchange de cripto, y sin embargo el dinero salió por canales cripto. Cuando la víctima es la tesorería propia de la institución y no los saldos de los clientes, las preguntas de seguridad relevantes se centran en los controles de tesorería y la supervisión de plataformas externas. Para aclarar el origen y el método del ataque, Arkéa está trabajando con autoridades judiciales y policiales. El banco también ha advertido sobre posibles intentos de phishing. Más allá del método, tanto la pérdida final como el tamaño de la parte bloqueada de los fondos siguen abiertos.