El banco francés Crédit Mutuel Arkéa confirmó el miércoles que un ciberataque permitió a hackers llevar a cabo transferencias fraudulentas desde la cuenta propia del banco — un robo que el investigador on-chain ZachXBT estima en más de 133 millones de dólares, cifra que el banco no ha confirmado.

La entidad con sede en Bretaña indicó en un comunicado que el incidente estaba bajo control, que las operaciones se estaban reanudando y que los activos de los clientes no fueron afectados. Suspendió algunas transacciones como medida de precaución.

"Este incidente no ha tenido impacto en los activos (de los clientes) y solo ha causado un retraso en la ejecución de ciertas transferencias", dijo el banco en su sitio web, en una traducción publicada por Reuters.

En un documento de preguntas y respuestas posterior, Crédit Mutuel Arkéa explicó que los atacantes pasaron por la plataforma de uno de sus proveedores de servicios y llegaron directamente al banco. Usaron la cuenta propia del banco para enviar transacciones a otros bancos, lo que potencialmente les permitió convertir el dinero en criptomonedas a través de plataformas especializadas, según la entidad.

No se utilizaron cuentas de clientes en sus federaciones o filiales, según el banco. También desmintió informes de la prensa francesa de que los atacantes entraron a través de Fortuneo, su brazo de banca en línea, y describió el incidente como "un ataque sofisticado desde el exterior", no como el resultado de un error humano.

La magnitud de la pérdida

El banco no ha dado una cifra final. Al ser consultado sobre si habían sido robados 118 millones de euros, u 133 millones de dólares, dijo que no confirma el número y solo puede "validar el orden de magnitud".

Parte de los fondos involucrados ha sido congelada y se están realizando otros pasos para recuperar el resto, dijo el banco. Añadió que los montos en juego "absolutamente no" son lo suficientemente grandes como para amenazar su salud financiera o solvencia.

AFP informó que el banco estimó provisionalmente el ataque en unos 100 millones de euros. El mismo miércoles, Reuters informó que el banco dijo que sus pérdidas eran inferiores a los 133 millones de dólares. "Todavía es demasiado pronto para dar una cifra final", dijo un portavoz a la agencia.

Lo que reportó ZachXBT

ZachXBT señaló por primera vez el incidente el lunes sin nombrar a la víctima. Escribiendo en su canal de Telegram, dijo que se sospechaba que una entidad de la UE había perdido más de 106 millones de dólares en múltiples cuentas de exchanges centralizados el 1 de noviembre, con los fondos retirados como USDC y USDT. Luego los fondos fueron cambiados por ether y movidos a través de varias cadenas, afirmó.

En una actualización, dijo que había encontrado otros 27 millones de dólares o más en retiros de exchanges, elevando el total a más de 133 millones de dólares. Una publicación posterior identificó a Crédit Mutuel Arkéa como la presunta víctima. Escribió que el ataque "ocurrió durante varios días" y que sospecha que el monto robado es mayor una vez que se contabilice la actividad extrabursátil.

El banco no ha confirmado su cifra ni su cronología. Tampoco ha dicho cuándo comenzó el ataque, quién está detrás de él o si se tomaron datos. Crédit Mutuel Arkéa está trabajando con las autoridades judiciales y policiales para determinar el origen del ataque y cómo se llevó a cabo, y dijo que informó a sus supervisores tan pronto detectó el ataque. El banco también advirtió a los clientes que son posibles intentos de phishing tras el incidente.

Antecedentes del banco

Crédit Mutuel Arkéa, que agrupa a las federaciones de Crédit Mutuel de Bretaña y el Suroeste, forma parte del grupo Crédit Mutuel más amplio. Tiene 5,8 millones de clientes y 211.500 millones de euros, unos 238.000 millones de dólares, en activos, según Reuters. Reportó una utilidad neta de 230 millones de euros en el primer semestre del año, según AFP.

El hackeo se produce menos de una semana después del hackeo récord de 6.340 millones de dólares en Binance, que empresas de análisis de blockchain han vinculado a Corea del Norte. ZachXBT dijo en su primera publicación que tenía mucha confianza en que este incidente no fue obra del grupo Lazarus de Corea del Norte. Aparte, el brasileño Mercado Bitcoin congeló depósitos y retiros esta semana tras un incidente de seguridad.

Cuánto dinero puede recuperar el banco y cuál será la pérdida final del incidente siguen siendo preguntas abiertas.

Este artículo apareció por primera vez en Bitcoin Magazine y fue escrito por Micah Zimmerman.