El investigador de blockchain ZachXBT informó el martes que la pérdida de criptomonedas aún no divulgada en una institución de Europa Occidental sin identificar supera los 133 millones de dólares, frente a la cifra de 106 millones que citó un día antes. ZachXBT, quien anteriormente ha obligado a revelar información al hacer públicas brechas de criptoactivos, ahora alega que la entidad de la Unión Europea afectada está ocultando la brecha en lugar de reportarla a las autoridades de la UE.

¿Está un banco de la UE ocultando un hackeo de criptomonedas?

En una publicación en su canal de Telegram el martes en la madrugada, ZachXBT dijo: "Mi teoría de trabajo es que una gran institución financiera de Europa Occidental fue atacada y actualmente está siendo encubierto".

Según el investigador, la estimación de la pérdida asciende ahora a 133 millones de dólares tras procesarse otros 27 millones en retiros a través de exchanges centralizados. Los retiros han continuado incluso después de su divulgación inicial el lunes.

A pesar de las repetidas alertas sobre el incidente, la víctima no ha sido identificada, y la acusación de encubrimiento no ha sido verificada de forma independiente.

ZachXBT no sospecha de la participación del grupo Lazarus de Corea del Norte, la unidad implicada en muchas de las brechas más grandes que ha sufrido la industria cripto, y señala que el patrón de lavado no se asemeja a las rutas que el grupo suele utilizar. También indicó que más de 30 millones de dólares de los fondos presuntamente robados habrían quedado dentro de la red de congelamiento de la UE si el incidente se hubiera reportado.

Tres exchanges vaciados en un día

La firma de análisis Bitquery, que publicó su propia investigación del robo, rastreó en la blockchain 108,8 millones de dólares vinculados al incidente. Las transferencias comenzaron el domingo 1 de noviembre, vaciando cuentas en Kraken, Crypto.com y OKX a lo largo de unas 21 horas.

La mayor parte del dinero se movió como USDC hacia 15 wallets, 11 de las cuales habían recibido pagos de esos mismos exchanges antes del robo. Ese detalle llevó a Bitquery a concluir que el atacante tenía las claves de la víctima y sus credenciales de acceso a los exchanges, con la teoría de trabajo de que el atacante comprometió los dispositivos del propietario o, al menos, un dispositivo de alguien del equipo de la víctima.

Ocho de las wallets comprometidas eran cuentas inteligentes de Trust Wallet. Bitquery subrayó que el incidente no indica una falla en la app de Trust Wallet.

Después del robo, los fondos se trasladaron rápidamente de activos congelables a activos no congelables. Unos 62,98 millones de dólares en stablecoins se convirtieron en 27,553 ETH a través de UniswapX en unas cuatro horas, y luego se enviaron a Monero (XMR), una moneda de privacidad diseñada para ocultar los detalles de las transacciones, y a través de bridges.

Bitquery señaló que unos 78,3 millones de dólares seguían en wallets de Ethereum vinculadas al atacante al 13:47 UTC del 2 de noviembre, mientras que la wallet del atacante aún conserva 3,74 millones en USDC, dinero que Circle todavía puede congelar.

Por qué una víctima bancaria cambiaría el panorama

La teoría de ZachXBT apunta a un tipo de empresa que apenas se ha incorporado al mercado. Los bancos europeos pasaron 2026 adentrándose en las criptomonedas bajo las reglas de Mercados en Criptoactivos del bloque, y las entidades de crédito representan ahora cerca del 23% de los proveedores de servicios de criptoactivos en el registro MiCA de la UE a septiembre. Deutsche Bank, el mayor banco de Alemania, ha estado buscando la aprobación MiCA para la custodia de activos digitales. La autorización MiCA es lo que hace posible ese cambio: los proveedores de servicios de criptoactivos con licencia pueden ofrecer servicios como custodia y exchange, lo que explica cómo las entidades de crédito pasaron de ser observadoras a manipular directamente los activos digitales de los clientes.

El reporte anterior de Cryptopolitan sobre la fuga de 106 millones de dólares señaló el mismo patrón observado en los hackeos de Binance y Bitget: los atacantes convierten las stablecoins en Ether y monedas de privacidad antes de que Circle o Tether puedan actuar.

La cuestión de la divulgación

La acusación de encubrimiento tiene mayor peso si la víctima es una entidad financiera. Según el regulador de mercados de Francia, la AMF, bajo la Ley de Resiliencia Operativa Digital de la UE (DORA), vigente desde el 17 de enero de 2025, las empresas financieras, incluidos los proveedores de servicios de criptoactivos, deben señalar y reportar los incidentes importantes relacionados con las TIC a los supervisores mediante una primera alerta, una actualización de seguimiento y un informe de cierre.

El argumento de ZachXBT es que el retraso tuvo un costo directo: sin la divulgación, sostiene, unos 30 millones de dólares salieron del alcance que las autoridades habrían podido congelar. Si alguna entidad cubierta por DORA está involucrada sigue sin confirmarse, y ningún regulador ha identificado a la víctima. Por ahora, la historia depende de una breve lista de hechos pendientes: la identidad de la institución, si algún supervisor confirma haber recibido un reporte del incidente y si los USDC aún congelables se congelan o se convierten en activos que ningún emisor puede tocar.