El investigador on-chain ZachXBT, conocido por rastrear hacks y fondos robados a través de las blockchains, identificó al grupo bancario francés Crédit Mutuel Arkéa como la entidad europea detrás de aproximadamente $133 millones en salidas sospechosas de criptomonedas que rastreó durante los últimos días. Los hallazgos sugieren que una gran institución europea fue comprometida, y el banco francés no ha comentado de inmediato.

Según los reportes, las pérdidas provienen de las wallets cripto de Crédit Mutuel Arkéa, una marca regional del más amplio Grupo Crédit Mutuel. La entidad bancaria posee más de $235 mil millones en activos totales, y la cripto representa solo una pequeña parte de su portafolio. El ataque contra las wallets se extendió durante varios días e incluyó intercambios on-chain y otras operaciones, y ZachXBT sigue buscando pérdidas adicionales y intentos de lavar los fondos.

La presencia de Crédit Mutuel Arkéa va más allá de la banca y los seguros. El grupo ofrece servicios bancarios y procesamiento de pagos white-label para fintechs y neobancos, algunos de los cuales manejan cripto, incluyendo Stripe. Su subsidiaria, Arkéa Banking Services (ABS), ofrece transferencias SEPA, rampas de entrada de fiat y cuentas para fintechs que cumplen con MiCAR, es decir, empresas que operan bajo el marco de Mercados de Criptoactivos de la UE. El banco y sus subsidiarias no han divulgado sus criptoactivos ni sus wallets públicas, razón por la cual las transacciones sospechosas solo fueron detectadas mediante la vigilancia de algunos de los exchanges centralizados más utilizados.

Los fondos se movieron a través de exchanges centralizados

El ataque drenó fondos de una serie de cuentas de exchanges centralizados. El 2 de noviembre, ZachXBT identificó $106 millones en pérdidas en múltiples cuentas de exchanges centralizados, con los fondos retirados en USDC y USDT, las stablecoins emitidas por Circle y Tether, respectivamente.

El atacante luego intercambió USDC por ETH a través de exchanges instantáneos, incluidos WellWallet y Kyrrex, entre otros. Parte de los fondos fue convertida a Monero (XMR), un activo enfocado en la privacidad que oculta los detalles de las transacciones por diseño, a través de Wagyu Wallet, y transferida mediante puentes a otras cadenas.

ZachXBT señaló que este modelo de lavado no encaja con los procedimientos habituales del grupo Lazarus, el colectivo de hackers atribuido a Corea del Norte. Los hackers norcoreanos suelen mover los fondos robados rápidamente mediante operaciones on-chain, generalmente usando Ethereum y sus mixers, lo que hace que los intercambios a través de exchanges centralizados sean un patrón de lavado inusual.

Retiros concentrados en cuentas de Kraken

Según las wallets del atacante agregadas por ZachXBT, parte de los fondos fue retirada de una hot wallet de Kraken y luego dividida en reservas más pequeñas y movida a nuevas direcciones. Tras un día de ataques, Kraken restringió las wallets vinculadas al exploit, aunque los fondos no han sido congelados, una restricción que detiene la actividad desde las cuentas señaladas pero deja los tokens intactos.

La primera ola de ataques utilizó 11 wallets nuevas, retirando fondos predominantemente de la hot wallet de Kraken. Varias transacciones también se originaron desde wallets de Crypto.com y OKX, lo que sugiere múltiples cuentas comprometidas. Una segunda ola de retiros movió otros $27 millones, nuevamente afectando en su mayoría wallets de Kraken.

Los retiros de exchanges continuaron incluso después del anuncio inicial de ZachXBT, sin comentarios inmediatos del banco francés. "Mi teoría de trabajo es que una gran institución financiera de Europa Occidental fue comprometida y actualmente se está encubriendo", comentó ZachXBT a través de su canal de Telegram. Hasta la fecha, señaló, más de $30 millones ya han sido lavados, sin señales de congelamiento de activos por parte de las autoridades europeas.

El atacante se convirtió en una ballena de ETH

El atacante desconocido también llamó la atención de los exploradores on-chain en la última semana al actuar como un comprador de ETH a gran escala. La primera señal fue una wallet desconocida que compró 27,553 ETH a un precio promedio de $2,286 por ETH. Tras la reciente caída de precio, no era inusual que las ballenas entraran a gran escala, y solo más tarde se identificó que la dirección de la ballena estaba conectada con el exploit en curso.

En lugar de mantener el ETH como reserva, la wallet comenzó a lavar los fondos a través de múltiples aplicaciones y plataformas.

A pesar de los retiros en USDC y USDT, las stablecoins no han sido congeladas. Esa decisión contrasta con la reacción rápida ante el reciente hack de Binance, donde Circle y Tether congelaron de inmediato las direcciones señaladas del explotador. Si alguno de los emisores aplica el mismo tratamiento a las direcciones vinculadas a este caso, y si Crédit Mutuel Arkéa aborda públicamente la brecha, sigue sin resolverse.