Il gruppo bancario francese Crédit Mutuel Arkéa ha confermato un attacco informatico in cui trasferimenti fraudolenti hanno spostato fondi dal conto della stessa istituzione verso criptovalute tramite piattaforme specializzate. L'entità complessiva supererebbe i 133 milioni di dollari.

Crédit Mutuel Arkéa è una delle principali banche francesi, con oltre 12.000 dipendenti e più di 5,8 milioni di soci e clienti. Gli attivi totali del gruppo si attestano a 211,5 miliardi di euro (238,1 miliardi di dollari), e il gruppo possiede la controllata online Fortuneo.

Vale la pena notare che il caso non è stato reso pubblico dalla banca. L'investigatore on-chain indipendente ZachXBT ha esposto il furto all'inizio di novembre 2026, ricostruendo la traccia dei fondi rubati attraverso le blockchain pubbliche. Arkéa ha confermato l'attacco solo due giorni dopo, dichiarando di aver contenuto l'incidente e che gli asset dei clienti non sono stati interessati. ZachXBT, dal canto suo, ha avvertito che la sua stima di 133 milioni di dollari potrebbe ancora salire, poiché l'attacco si è prolungato per diversi giorni e potrebbe aver coinvolto ulteriori transazioni over-the-counter (OTC).

Arkéa conferma l'attacco, non l'importo

Secondo la banca, l'attacco ha consentito trasferimenti fraudolenti dal conto della stessa istituzione, e i fondi sono finiti poi nelle criptovalute tramite piattaforme specializzate. La sequenza colpisce perché la traccia on-chain era pubblica prima che la banca emettesse il suo comunicato. Per due giorni, quindi, chiunque avesse accesso ai dati blockchain poteva risalire ai deflussi.

Arkéa ha avallato la cifra di 133 milioni di dollari di ZachXBT solo come ordine di grandezza. La banca ha aggiunto che il volume delle transazioni fraudolente non deve necessariamente corrispondere alla perdita finale. Una parte dei fondi rubati resta bloccata, ma l'istituzione afferma che è troppo presto per una cifra definitiva e non ha reso noto quanto sia ampia la quota bloccata. Di fatto, Arkéa lascia aperto se il danno finale sarà inferiore o superiore alla stima dell'investigatore.

I clienti hanno percepito l'incidente solo come ritardi su singoli trasferimenti, secondo la banca. Essa aveva precedentemente sospeso alcune transazioni per precauzione, e alla mattina della conferma quasi tutte le operazioni erano nuovamente attive. Arkéa sottolinea che i suoi team hanno attivato le necessarie misure di sicurezza subito dopo la scoperta, al fine di prevenire ulteriori movimenti fraudolenti.

Rapportata agli attivi totali del gruppo, la somma coinvolta è relativamente contenuta: 133 milioni di dollari equivalgono a circa lo 0,06% di 238,1 miliardi di dollari. "Possiamo già affermare che gli importi coinvolti non sono in alcun modo in grado di compromettere la solidità finanziaria e la solidità di Crédit Mutuel Arkéa", ha dichiarato la banca.

Come i fondi sono usciti tramite exchange istantanei e Monero

ZachXBT ha tracciato on-chain il percorso dei fondi. Innanzitutto, un'entità europea non identificata ha prelevato oltre 106 milioni di dollari da exchange centralizzati. Circa altri 27 milioni di dollari sono seguiti in un secondo momento, secondo ZachXBT. Il totale di oltre 133 milioni di dollari deriva quindi da due ondate, con la seconda considerevolmente più piccola della prima.

L'attaccante ha poi convertito i fondi da USDC in ETH, tra le altre conversioni. Successivamente, il denaro è passato tramite exchange istantanei come WellWallet e Kyrrex ed è confluito in Monero (XMR) tramite Wagyu. Inoltre, l'attaccante ha utilizzato bridge per distribuire parte del ricavato su più chain. Ognuna di queste fasi rende più difficile il tracciamento. Gli exchange istantanei gestiscono in genere direttamente singoli scambi tra due criptovalute, mentre il passaggio in Monero pesa maggiormente, perché la privacy coin nasconde gli indirizzi e gli importi che restano visibili in modo trasparente su Ethereum.

Una parte dei fondi era quasi fuori portata già nelle fasi iniziali. Secondo la valutazione dell'investigatore, oltre 30 milioni di dollari si trovavano già oltre le semplici vie di congelamento, cosa che egli attribuisce a una segnalazione tardiva alle autorità. L'emittente di USDC, ad esempio, può bloccare gli indirizzi e quindi congelare i saldi, mentre Ether non dispone di un tale gatekeeper. Di conseguenza, il danno finale dipende anche da quanti fondi la banca sia effettivamente riuscita a bloccare.

L'attribuzione attira l'attenzione in furti di questa entità perché il gruppo Lazarus della Corea del Nord è comparso in una serie di importanti furti di criptovalute documentati in valutazioni governative e delle Nazioni Unite. ZachXBT ha anche commentato chi si trovi dietro l'attacco. Ha dichiarato di avere "high confidence" sul fatto che l'attaccante non appartenga al gruppo Lazarus della Corea del Nord. Né la banca né l'investigatore hanno finora indicato un responsabile.

Bitquery misura in modo più ristretto rispetto a ZachXBT

Le cifre delle perdite in circolazione provengono da due misurazioni, e sommarle sarebbe errato. La più alta è quella di ZachXBT, che cita oltre 133 milioni di dollari e ritiene possibile una cifra superiore con ulteriori transazioni OTC. In tali operazioni, due parti negoziano bilateralmente, spesso tramite intermediari specializzati e al di fuori dei libri ordini pubblici, quindi non compaiono necessariamente nei dati di exchange. I 118 milioni di euro citati in alcuni rapporti equivalgono agli stessi 133 milioni di dollari dopo la conversione valutaria e non costituiscono una misurazione separata.

Il fornitore di dati Bitquery conta invece 108,8 milioni di dollari in prelievi USDC da wallet che attribuisce a Kraken, Crypto.com e OKX. I fondi sono andati a 15 indirizzi entro una finestra di misurazione di circa 21 ore tra il 1° e il 2 novembre 2026. Escludendo due indirizzi collegati solo indirettamente, si arriva a 95,7 milioni di dollari. L'ambito di ciascun conteggio spiega quindi parte del divario, poiché ZachXBT coglie entrambe le ondate di deflusso mentre la finestra di Bitquery è più ristretta.

Il giorno della conferma, Bitquery vedeva ancora circa 42,6 milioni di dollari in wallet Ethereum collegati, tenuti per lo più in ETH. Quella porzione è almeno visibile on-chain. Tuttavia, la misurazione ha un punto cieco: Bitquery non vede i bonifici bancari, quindi non può documentare in modo indipendente il percorso dal conto della banca alle criptovalute. Il collegamento tra Arkéa e i wallet si basa quindi sulla ricostruzione di ZachXBT nonché sulla dichiarazione della banca che i fondi sono confluiti in criptovalute. L'istituzione non ha confermato alcuna di queste cifre come importo esatto.

Piattaforma di un fornitore di servizi come presunto punto di accesso

La banca fornisce solo una breve descrizione del punto di accesso. Secondo quanto riferito, gli attaccanti sono entrati nel sistema attraverso la piattaforma di un fornitore di servizi e hanno inviato denaro ad altre banche. Un punto di accesso di questo tipo colloca il caso tra le compromissioni di terze parti o della supply chain, in cui gli attaccanti raggiungono un'istituzione prendendo di mira una piattaforma esterna all'interno della sua catena operativa. Arkéa non ha confermato se questa via abbia consentito anche la conversione in criptovalute, e i dati on-chain non possono cogliere proprio questo passaggio. La banca ha negato qualsiasi accesso tramite la sua controllata online Fortuneo, e afferma che gli attaccanti non hanno utilizzato account dei clienti. Ufficialmente, quindi, il metodo esatto resta inspiegato.

L'impostazione del caso è insolita. La vittima è la banca stessa, anziché singoli clienti o un exchange di criptovalute, eppure il denaro è uscito tramite canali cripto. Quando la vittima è la tesoreria della stessa istituzione anziché i saldi dei clienti, le questioni di sicurezza pertinenti si concentrano sui controlli della tesoreria e sulla supervisione delle piattaforme esterne. Per chiarire l'origine e il metodo dell'attacco, Arkéa collabora con le autorità giudiziarie e di polizia. La banca ha inoltre avvertito di possibili tentativi di phishing. Oltre al metodo, sia la perdita finale sia l'entità della quota di fondi bloccata restano aperte.