El robo a Crédit Mutuel Arkéa: cómo 133 millones de dólares salieron por un proveedor de servicios y acabaron en stablecoins y Monero
Crédit Mutuel Arkéa, un grupo bancario cooperativo francés con 5,8 millones de socios y 211.500 millones de euros en activos, ha confirmado que un intruso llegó a sus sistemas a través de la plataforma de un proveedor de servicios y utilizó la propia cuenta corporativa del banco para enviar unos 118 millones de euros, alrededor de 133 millones de dólares, a cuentas de otras entidades. El banco reveló el incidente el 4 de noviembre de 2026 y se ha negado a confirmar el importe.
Lo que el banco ha confirmado y lo que no
En declaraciones recogidas por medios franceses y por BleepingComputer, Arkéa describió un ataque sofisticado y afirmó que el intruso entró directamente por la plataforma de un proveedor de servicios. El banco descartó expresamente Fortuneo, su propio banco online, como punto de entrada, y descartó también un error humano de su personal. Señaló que las transferencias partieron de la cuenta del propio Arkéa y no de cuentas de clientes, y que los activos de los clientes no se vieron afectados. Algunas transferencias se retrasaron mientras el banco suspendía ciertas operaciones por precaución. Lo que no ha hecho es confirmar la cifra. Preguntado por la estimación de 133 millones de dólares, dijo a BleepingComputer que no confirmaba esa información y que solo podía validar el orden de magnitud. Conviene tener presente esa cautela: la cantidad es una reconstrucción de un investigador a partir de datos on-chain, no una cifra avalada por la víctima. «No confirmamos esta información y solo podemos validar el orden de magnitud». Crédit Mutuel Arkéa, citado por BleepingComputer
Cómo una transferencia fiduciaria se convierte en stablecoin
La mecánica reportada hasta ahora es poco glamurosa. Según las investigaciones de Grégory Raymond y otros, resumidas por ZATAZ, las transferencias fraudulentas se extendieron durante varios días en lugar de producirse en una sola oleada, y los nombres de los beneficiarios que figuraban en las transferencias se eligieron para que coincidieran con los nombres de las cuentas receptoras. Desde allí el dinero se retiró en USDC y USDT, las dos mayores stablecoins denominadas en dólares, hacia cuentas en exchanges centralizados. IT for Business, citando a la firma de datos blockchain Bitquery, informa de que 108,8 millones de dólares en USDC salieron de cuentas de Kraken, Crypto.com y OKX en unas 20 horas durante el 1 y el 2 de noviembre, repartidos entre 15 carteras distintas. Por qué la cuenta en el exchange es el cuello de botella
Esta es la parte de la historia en la que merece la pena detenerse. Una transferencia bancaria puede reclamarse, impugnarse y revertirse a través de la cadena de corresponsales; una transferencia de stablecoins no. Pero una stablecoin depositada en un exchange regulado tampoco es anónima, y por eso las cuentas en sí fueron presuntamente el problema que los estafadores tuvieron que resolver primero. Los reportes las describen como abiertas de antemano con identidades falsificadas lo bastante buenas para superar las comprobaciones de conocimiento del cliente, con los nombres de los beneficiarios de las transferencias ajustados a los nombres de los titulares para que el banco emisor las aceptara. IT for Business añade que las cuentas parecen haberse abierto directamente con identidades falsas en lugar de haberse apropiado de clientes reales, y que once de las 15 carteras de destino habían recibido antes fondos de esos mismos exchanges, en algunos casos meses antes. Si eso se sostiene, describe preparación y no improvisación: cuentas en exchanges e infraestructura de carteras listas antes de que la primera transferencia saliera del banco. Veintisiete mil ether, y luego Monero
En la noche del 1 al 2 de noviembre, unos 63 millones de dólares en stablecoins se cambiaron por 27.553 ETH a través de UniswapX, un protocolo de exchange descentralizado. La elección es práctica. Los emisores de stablecoins pueden congelar saldos a nivel de contrato cuando se les solicita; el ether no tiene emisor al que pedírselo. El intercambio además se completó en menos de cuatro horas, según los mismos reportes, lo que es más rápido que una orden judicial. El resto se dividió entre direcciones, se movió entre cadenas mediante puentes y pasó por servicios de intercambio instantáneo que los reportes identifican como WellWallet y Kyrrex, antes de que una parte se convirtiera a Monero a través de un servicio llamado Wagyu. Monero oculta por defecto emisor, receptor e importe, de modo que el rastro se detiene efectivamente en esa frontera. Es el estado final habitual de los grandes robos de criptomonedas hoy, y por eso las horas inmediatamente posteriores a un robo importan más que las semanas siguientes. Cómo es una congelación en la práctica
Kraken afirmó que restringió las cuentas vinculadas en la noche del lunes 2 al martes 3 de noviembre y que sus propios sistemas no fueron comprometidos. Crypto.com dijo que bloqueó los fondos asociados, y OKX seguía investigando en el momento de los reportes. ZachXBT ha sostenido que una notificación lenta a los exchanges y a las autoridades permitió blanquear más de 30 millones de dólares que de otro modo podrían haberse interceptado a tiempo. Una congelación no es una recuperación. Es una retención sobre un saldo mientras se discute la titularidad, y la liberación depende de un proceso legal, de las condiciones del propio exchange y de demostrar a qué reclamante pertenecen las monedas. El banco dijo que el incidente está ahora cerrado y bajo control, lo que describe su propia contención, no el destino del dinero. Lo que el expediente no establece
No se han reportado detenciones. Ni los intrusos ni el proveedor de servicios han sido identificados públicamente, y el banco no ha dado detalles técnicos sobre cómo se utilizó la plataforma. La atribución está abierta: ZachXBT ha dicho que está muy seguro de que no fue el grupo Lazarus, mientras otra línea de reportes, explícitamente no probada, apunta a redes francófonas históricamente asociadas con esquemas de fraude al presidente. Numerama señala que el método en sí sigue siendo desconocido. El punto de entrada es la parte menos satisfactoria de la historia. Un intruso dentro de la plataforma de un proveedor es una descripción de cadena de suministro, y plantea la pregunta que plantea toda función bancaria externalizada: qué credenciales tenía el proveedor y si el banco podía ver que se estaban usando. Arkéa dice que coopera con las autoridades judiciales. Según la evidencia publicada hasta ahora, las transferencias, las conversiones y las congelaciones están documentadas; la intrusión no. Para una mirada relacionada sobre cómo se pone a prueba el análisis de transacciones en un tribunal y no en una entrada de blog, véase nuestro relato del juicio de Bitcoin Fog.
