El investigador de blockchain ZachXBT ha señalado al grupo bancario francés Crédit Mutuel Arkéa como presunta víctima de un robo de criptomonedas por más de 133 millones de dólares, tras su investigación sobre una serie de retiros inusuales de exchanges centralizados de criptomonedas. El episodio ilustra cómo la forense on-chain puede revelar posibles incidentes antes de que alguna institución afectada los haya reconocido públicamente.

Crédit Mutuel Arkéa no ha confirmado públicamente ninguna conexión con las transacciones ni ha reconocido pérdidas financieras. Como resultado, la presunta brecha, el monto involucrado y los vínculos del banco con la actividad permanecen sin verificar.

Cronología de la investigación

El 4 de noviembre, ZachXBT presuntamente identificó a Crédit Mutuel Arkéa como la institución potencialmente afectada por las transacciones sospechosas. El grupo bancario posee aproximadamente 235 mil millones de dólares en activos, lo que convertiría al presunto robo en un evento notable para el sector financiero tradicional.

La investigación comenzó el 2 de noviembre, cuando ZachXBT señaló más de 106 millones de dólares en retiros sospechosos de criptomonedas. Las transacciones presuntamente se originaron en cuentas de exchange asociadas a una entidad no identificada de la Unión Europea, como reportó CoinDesk. Los retiros de esta escala son el tipo de actividad que los investigadores on-chain suelen monitorear, ya que los flujos inusualmente rápidos entre cuentas de exchange pueden indicar accesos no autorizados o cuentas comprometidas.

Un día después, el 3 de noviembre, el investigador descubrió 27 millones de dólares adicionales en retiros vinculados al mismo presunto atacante, elevando el valor estimado del supuesto robo por encima de los 133 millones de dólares.

ZachXBT también sugirió que una importante institución financiera de Europa Occidental podría haber omitido divulgar el incidente. Sin embargo, ninguna evidencia independiente ha establecido que el banco ocultó deliberadamente una brecha de seguridad.

Los fondos robados se movieron a través de Ethereum y Monero

El análisis de transacciones blockchain indica que el presunto atacante retiró inicialmente los fondos en stablecoins USDC y USDT, los dos tokens anclados al dólar más utilizados, cuyos movimientos a través de blockchains públicas pueden rastrearse transacción por transacción. Los activos se enrutaron posteriormente a través de Ethereum, exchanges instantáneos de criptomonedas y puentes cross-chain, una combinación de pasos de enrutamiento que puede fragmentar la pista de auditoría entre múltiples redes y servicios.

Los investigadores también identificaron transacciones que involucraban a Monero, una criptomoneda centrada en la privacidad que oculta los detalles de las transacciones. Este tipo de transferencias puede dificultar considerablemente que las autoridades rastreen los activos y recuperen los fondos robados.

ZachXBT afirmó que la revelación tardía permitió que más de 30 millones de dólares quedaran fuera de posibles medidas de recuperación, y sugirió que las autoridades policiales europeas podrían haber congelado algunos activos si hubieran recibido notificación anticipada. Añadió que los patrones de transacción parecían inconsistentes con los típicamente asociados al grupo Lazarus de Corea del Norte, el colectivo de hackers vinculado al Estado que autoridades de EE. UU. y aliados han responsabilizado por algunos de los mayores robos de criptomonedas registrados. La identidad del presunto atacante sigue siendo desconocida.

La confirmación del banco sigue siendo crítica

Las acusaciones plantean preguntas sobre la custodia de criptomonedas, las prácticas de seguridad institucional y los estándares de reporte de incidentes dentro de la industria financiera europea, un terreno ahora moldeado para los bancos de la UE por la Ley de Resiliencia Operativa Digital, en vigor desde enero de 2025, que exige a las entidades financieras reportar a los reguladores los incidentes importantes relacionados con las TIC. Aun así, las transacciones blockchain sospechosas por sí solas no pueden establecer que un banco en particular sufriera una pérdida financiera confirmada.

Las autoridades no han verificado públicamente el presunto robo ni han determinado cómo accedió el presunto atacante a las cuentas de exchange. Una confirmación adicional por parte de Crédit Mutuel Arkéa, los exchanges de criptomonedas involucrados o los reguladores será esencial para establecer el alcance real del incidente. Mientras tanto, las señales más relevantes a observar incluyen cualquier respuesta pública del banco, las divulgaciones de los exchanges cuyas cuentas fueron utilizadas, una posible acción policial contra los fondos que sigan siendo rastreables y si se identifican retiros adicionales vinculados al mismo presunto atacante.