Crédit Mutuel Arkéa confirmó que un ciberataque permitió operaciones fraudulentas en el grupo bancario francés, un día después de que el investigador on-chain ZachXBT —un investigador seudónimo conocido por documentar públicamente grandes robos de criptomonedas— lo identificara como presunta víctima de un robo de criptomonedas superior a los 133 millones de dólares. El banco dijo que el incidente estaba bajo control y que los activos de los clientes no se vieron afectados, pero no reveló cuánto fue sustraído ni confirmó pérdidas en criptomonedas.

Según el grupo, las operaciones se reanudan gradualmente tras la implementación de medidas de seguridad más estrictas. Algunos traspasos se habían retrasado, y el banco suspendió temporalmente ciertas transacciones para evitar nuevos movimientos fraudulentos.

«Cerrado y ahora bajo control»

En un comunicado compartido con Decrypt el miércoles, Crédit Mutuel Arkéa describió el incidente como «cerrado y ahora bajo control». El banco dijo que notificó a las autoridades supervisoras correspondientes tan pronto detectó el ataque, y advirtió a los clientes que mantuvieran alerta ante intentos de phishing tras el incidente, en el que los atacantes se hacen pasar por instituciones confiables para engañar a las personas y obtener sus credenciales o fondos.

Los montos involucrados «en ningún caso son de una naturaleza que cuestione la solidez y la salud financiera del grupo», añadió el banco, según la traducción de Decrypt. El comunicado no mencionó criptomonedas ni dio una cifra del monto sustraído. Decrypt dijo que había preguntado al grupo si las pérdidas involucraban cripto.

La confirmación siguió a la identificación pública por parte de ZachXBT de Crédit Mutuel Arkéa como la institución que, según creía, había sido atacada. En una publicación en Telegram el martes, nombró al grupo y alegó un robo de más de 133 millones de dólares, afirmando que el ataque se extendió por varios días y que el total podría ser mayor una vez que se cuente la actividad fuera de mercado (over-the-counter).

El relato de ZachXBT sobre los retiros

ZachXBT denunció por primera vez el presunto robo el lunes. Dijo que una entidad no identificada de la Unión Europea podría haber perdido más de 106 millones de dólares de cuentas en varios exchanges de criptomonedas el 1 de noviembre, con los fondos retirados en USDC y USDT, dos stablecoins ligadas al dólar.

Según el investigador, el atacante luego intercambió USDC por ETH, movió fondos a través de exchanges instantáneos, convirtió una parte en Monero, una criptomoneda centrada en la privacidad que oculta los detalles de las transacciones, y transfirió activos mediante puentes entre múltiples cadenas. Posteriormente dijo haber identificado 27 millones de dólares adicionales en retiros de exchanges, lo que eleva el total reportado a más de 133 millones de dólares, y algunos retiros ocurrieron después de su revelación inicial.

ZachXBT también publicó cuatro direcciones de Ethereum que, según dijo, estaban vinculadas al robo. No explicó cómo identificó al banco ni cómo el atacante accedió a las cuentas de los exchanges, y el comunicado del banco tampoco confirmó esos detalles ni conectó las operaciones fraudulentas con los presuntos movimientos de criptomonedas.

El investigador además acusó a la institución de carecer de una «divulgación adecuada del incidente», afirmando que esa falla impidió a las autoridades judiciales congelar alrededor de 30 millones de dólares en fondos robados. Esas afirmaciones siguen siendo acusaciones de ZachXBT, y el reporte original no incluyó una respuesta del banco a esa acusación.

Planes reportados de licencia MiCA

La acusación surgió cuando el grupo bancario se prepara para expandirse en servicios cripto. El diario financiero francés L'Agefi reportó en mayo que Crédit Mutuel Arkéa había solicitado una licencia bajo el marco regulatorio de Criptoactivos de los Mercados (MiCA) de la Unión Europea, el régimen de licencias del bloque para proveedores de servicios de criptoactivos. Según los reportes, el plan era ofrecer servicios a clientes minoristas a través de Arkéa Banking Services bajo un esquema de marca blanca. El banco no ha vinculado el incidente con sus reportados planes cripto.

Decrypt reportó la acusación días después del hackeo de Binance de 6.300 millones de dólares, atribuido por el FBI a hackers norcoreanos. ZachXBT dijo que el presunto atacante en el caso de la UE seguía sin identificarse y que podía descartar al grupo Lazarus, la colectividad de hackeo vinculada a Corea del Norte, con un «alto grado de confianza», citando múltiples indicadores de lavado.

El banco dijo que algunas operaciones se reanudaban gradualmente tras el fortalecimiento de las medidas de seguridad. El monto afectado sigue en evaluación, y el grupo no ha confirmado si hubo criptomonedas involucradas. El relato de ZachXBT sobre los retiros de exchanges sigue siendo una acusación en el reportaje, y el método por el cual el atacante accedió a las cuentas de los exchanges no ha sido explicado. Los puntos pendientes a seguir son la evaluación final de pérdidas del grupo, su respuesta sobre si hubo criptomonedas involucradas y si las autoridades judiciales logran congelar o recuperar parte de los fondos.