El investigador de blockchain ZachXBT identificó al grupo bancario francés Crédit Mutuel Arkéa como el presunto víctima de un robo de criptomonedas superior a 133 millones de dólares, ampliando una investigación sobre retiros sospechosos de múltiples cuentas de exchanges centralizados.

La revelación del 4 de noviembre identificó a la institución después de que alertas anteriores solo se referían a una entidad europea sin nombre. Crédit Mutuel Arkéa, uno de los grupos bancarios cooperativos más grandes de Francia, fue descrito por ZachXBT como poseedor de aproximadamente 235 mil millones de dólares en activos, y señaló que el presunto ataque continuó durante varios días, con posibles pérdidas adicionales relacionadas con transacciones extrabursátiles (OTC), operaciones negociadas privadamente fuera de los exchanges públicos.

El involucramiento del banco no ha sido confirmado de manera independiente. No se identificó ninguna respuesta pública que abordara la acusación al momento de la publicación, y las revelaciones no establecen si los activos afectados pertenecían a la institución, a sus clientes o a otra parte.

Retiros adicionales elevan las pérdidas estimadas por encima de los 133 millones de dólares

La alerta inicial de ZachXBT del 2 de noviembre identificó más de 106 millones de dólares en pérdidas sospechosas de cuentas de exchanges afectadas el día anterior. Los fondos fueron retirados como USDC y USDT, los dos mayores stablecoins anclados al dólar, antes de moverse a través de múltiples servicios y blockchains.

Posteriormente identificó otros más de 27 millones de dólares en retiros de exchanges, elevando su estimación por encima de los 133 millones de dólares. Algunos retiros ocurrieron después de su advertencia pública inicial, lo que indica que los flujos sospechosos continuaron después de que el incidente ya había llamado la atención.

El investigador publicó 11 direcciones sospechosas de robo en la alerta original y cuatro direcciones adicionales en la actualización. No nombró los exchanges que mantenían las cuentas afectadas ni explicó cómo el atacante obtuvo acceso a ellas.

El presunto lavado involucró el intercambio de USDC por ether, la transferencia de fondos a través de exchanges instantáneos y la conversión de activos en Monero (XMR), una criptomoneda centrada en la privacidad cuyo protocolo oculta los detalles de las transacciones. ZachXBT nombró a WellWallet y Kyrrex entre los servicios que recibieron transferencias e identificó a Wagyu como una vía para conversiones en XMR. Esas observaciones describen el movimiento de fondos; no establecen que los servicios participaron conscientemente en el robo.

"Sospecho que el monto robado es mayor si se considera la actividad OTC", escribió ZachXBT en la actualización que nombró a Arkéa. No proporcionó una estimación separada para esas transacciones.

ZachXBT critica la revelación mientras el atacante sigue sin identificarse

ZachXBT también alegó que una revelación inadecuada permitió el lavado de más de 30 millones de dólares que las autoridades europeas de aplicación de la ley podrían haber congelado. Describió un posible encubrimiento como su teoría de trabajo, no como un hallazgo establecido. Ni el ocultamiento deliberado ni el monto que las autoridades pudieron haber interceptado han sido verificados de manera independiente. La cifra de 30 millones de dólares se refiere a fondos presuntamente movidos durante el incidente, no a una pérdida separada que se sume a la estimación de 133 millones de dólares. Congelar criptomonedas robadas generalmente requiere que los exchanges, los emisores de stablecoins o los servicios que custodian los activos actúen antes de que los fondos salgan de su control.

El atacante sigue sin identificarse. ZachXBT dijo tener mucha confianza en que el grupo Lazarus, un colectivo de hackers vinculado a Corea del Norte al que las autoridades estadounidenses han atribuido algunos de los mayores robos de criptomonedas del sector, no fue el responsable, citando múltiples indicadores de lavado. No detalló públicamente esos indicadores, y su evaluación no es una atribución formal de las autoridades.

Estas revelaciones siguen a la suspensión de servicios de Mercado Bitcoin tras una brecha de seguridad y a la atribución del FBI del robo en Binance a la operación TraderTraitor de Corea del Norte, sumando el presunto robo a Arkéa a una reciente serie de incidentes de seguridad en el sector de activos digitales. Las publicaciones de ZachXBT no aportan evidencia que conecte el presunto incidente de Arkéa con ninguno de los dos casos.

La última actualización no establece cómo fueron comprometidas las cuentas de exchanges, si el acceso no autorizado ha sido contenido o cuánta criptomoneda ha sido congelada o recuperada. Si Crédit Mutuel Arkéa aborda públicamente la acusación, si se revelan más retiros o direcciones, y si las autoridades europeas o los servicios nombrados actúan para congelar fondos vinculados al incidente son los desarrollos clave a observar.