El grupo bancario francés Crédit Mutuel Arkéa confirmó que fue víctima de un ciberataque que permitió operaciones fraudulentas, un día después de que ZachXBT, un investigador onchain seudónimo conocido por rastrear fondos cripto robados, lo identificara como el presunto objetivo de un robo de criptomonedas de más de US$133 millones.

En un comunicado compartido con Decrypt el miércoles, Crédit Mutuel Arkéa indicó que el incidente estaba "cerrado y ahora bajo control". El banco afirmó que las operaciones se reanudaban gradualmente tras implementar medidas de seguridad más estrictas, y que los activos de los clientes no habían sido afectados. El ataque retrasó la ejecución de algunos traspasos, señaló.

El banco no mencionó criptomonedas ni reveló cuánto dinero fue sustraído. Dijo que los montos afectados aún estaban siendo evaluados, pero que "en todo caso no son de naturaleza para poner en duda la solidez y la salud financiera del grupo", según la traducción de Decrypt.

Crédit Mutuel Arkéa dijo que notificó a las autoridades supervisoras pertinent apenas detectó el ataque. También suspendió temporalmente ciertas transacciones como precaución contra movimientos fraudulentos adicionales y advirtió a los clientes que estuvieran alerta ante intentos de phishing tras el incidente — un riesgo posterior común tras brechas difundidas públicamente, cuando estafadores se hacen pasar por la institución afectada. Decrypt informó que contactó al banco para obtener más comentarios, incluido si las pérdidas involucraron activos cripto.

Las acusaciones de ZachXBT

"Revelando que la institución financiera de la UE explotada por más de US$133M es supuestamente Credit Mutuel Arkea, un banco francés con US$235 mil millones en activos", escribió ZachXBT en su canal de Telegram el martes: https://t.me/investigations/375

"El ataque al banco ocurrió durante varios días. Sospecho que el monto robado es mayor si se considera la actividad OTC", agregó.

ZachXBT reportó por primera vez el presunto robo el lunes, señalando que una entidad sin nombre en la Unión Europea pudo haber perdido más de US$106 millones de cuentas en varios exchanges de criptomonedas el 1 de noviembre. Según su publicación original, los fondos fueron retirados como USDC y USDT. Luego, el atacante convirtió USDC a ETH, movió fondos a través de exchanges instantáneos, transformó parte de los activos en la moneda de privacidad Monero — mucho más difícil de rastrear que cadenas transparentes como Ethereum porque su libro mayor oculta remitentes, destinatarios y montos — y trasladó fondos mediante puentes entre múltiples redes blockchain, un patrón de blanqueo comúnmente usado en grandes robos cripto para fragmentar transacciones y ocultar el origen de los fondos robados.

En una actualización el martes, ZachXBT dijo que había identificado US$27 millones adicionales en retiros de exchanges por parte del atacante, elevando el total a más de US$133 millones. Indicó que algunos de esos retiros ocurrieron después de su divulgación inicial y publicó cuatro direcciones de Ethereum que, según dijo, estaban vinculadas al robo: https://t.me/investigations/374

"Mi teoría de trabajo es que una gran institución financiera de Europa Occidental fue explotada y actualmente está siendo encubierto", escribió ZachXBT en su informe inicial. Acusó a la institución de no haber realizado una "divulgación adecuada del incidente", lo que, dijo, impidió que las autoridades policiales congelaran aproximadamente US$30 millones en fondos robados.

ZachXBT no explicó cómo identificó al banco ni cómo el atacante obtuvo acceso a sus cuentas en exchanges. También dijo que el presunto atacante sigue sin ser identificado. Sin embargo, escribió que podía decir "con un alto grado de confianza que NO es el grupo Lazarus", el colectivo de hackers norcoreano, "basándose en múltiples indicadores de blanqueo".

La acusación sigue a reportes de que Crédit Mutuel Arkéa venía preparando su entrada al sector cripto. En mayo, el periódico financiero francés L'Agefi informó que el grupo había solicitado una licencia bajo MiCA — el marco regulatorio cripto de la Unión Europea, que creó un régimen de licencias paneuropeo para proveedores de servicios de activos cripto — para ofrecer servicios cripto a clientes minoristas y proveerlos bajo esquema de marca blanca a través de su división Arkéa Banking Services:

La acusación también se produce días después del hackeo de US$6.300 millones a Binance, descrito en el reporte original como el mayor robo de criptomonedas registrado. El FBI atribuyó ese ataque a hackers norcoreanos. ZachXBT dijo que el presunto robo en la UE no parece haber sido perpetrado por el grupo Lazarus según los indicadores de blanqueo que revisó.

Varias preguntas siguen abiertas: la evaluación de los montos afectados del banco está en curso, no ha dicho si los activos cripto estuvieron entre las pérdidas, y ZachXBT ha señalado que el total podría ser mayor una vez que se contabilice la actividad extrabursátil (OTC).

Esta historia fue actualizada para agregar comentarios de Crédit Mutuel Arkéa.