Crédit Mutuel Arkéa ha confirmado que sufrió un ciberataque que permitió ejecutar operaciones fraudulentas, aunque todavía no ha cuantificado el alcance económico del incidente. El investigador de blockchain ZachXBT sitúa el posible robo por encima de los 133 millones de dólares en criptomonedas, una estimación que la entidad aún no ha validado.
El banco comunicó el miércoles a CoinDesk que el ataque está bajo control y que ya se han adoptado medidas para contenerlo. Entre ellas figura la suspensión temporal de determinadas operaciones. Crédit Mutuel Arkéa también informó de lo ocurrido a las autoridades competentes, mientras continúa la investigación para determinar cómo se produjo el acceso y qué fondos resultaron afectados.
El banco no confirma ni el importe ni la naturaleza de los fondos
Un portavoz de Crédit Mutuel Arkéa aseguró que sus clientes no sufrirán pérdidas económicas y que sus intereses están plenamente protegidos. La entidad, sin embargo, no ha revelado cuánto dinero fue sustraído ni ha aclarado si los activos afectados estaban originalmente denominados en divisas tradicionales o en criptomonedas.
La alerta inicial llegó a principios de esta semana, cuando ZachXBT informó de un robo superior a 106 millones de dólares en criptomonedas sufrido por una entidad financiera europea cuya identidad no había trascendido. Al día siguiente, el investigador detectó retiradas sospechosas por otros 27 millones de dólares en plataformas de intercambio. Con esos movimientos, elevó su cálculo a más de 133 millones de dólares y señaló posteriormente a Crédit Mutuel Arkéa como la presunta víctima.
ZachXBT ha advertido de que la cifra podría ser incluso mayor. Su estimación no incluiría necesariamente operaciones realizadas fuera de las plataformas de intercambio habituales, cuyo rastro todavía no se haya incorporado al análisis.
Millones de USDC pasaron por varias plataformas
Bitquery ha examinado de forma independiente parte de los movimientos registrados en la cadena de bloques. Según su análisis, entre el 1 y el 2 de noviembre se retiraron 108,8 millones de dólares en USDC mediante cuentas vinculadas a Kraken, Crypto.com y OKX. Las operaciones se produjeron durante un periodo aproximado de 21 horas.
Después, los fondos se distribuyeron entre cientos de monederos digitales. Una parte significativa se convirtió rápidamente en Ethereum. Bitquery calcula que unos 63 millones de dólares en monedas estables se transformaron en 27.553 ETH en apenas cuatro horas.
Ese cambio complica la inmovilización de los activos. El emisor de USDC puede congelar saldos identificados como sospechosos, mientras que Ethereum no ofrece un mecanismo equivalente para bloquear los fondos de la misma manera.
Crypto.com ha confirmado que bloqueó fondos relacionados con el ataque y ha indicado que los activos de sus clientes permanecen seguros y disponibles con normalidad. Bitquery también identificó el envío de 396 ETH a una dirección de Kraken. Por ahora no se ha confirmado si esos fondos han sido congelados ni quién controla la cuenta receptora. No hay indicios de que las plataformas de intercambio hayan sido víctimas directas del ataque.
Un incidente en plena expansión del banco hacia las criptomonedas
Crédit Mutuel Arkéa gestiona activos por más de 250.000 millones de dólares y llevaba tiempo preparando su entrada en los servicios relacionados con criptoactivos. En mayo trascendió que había solicitado una autorización bajo el reglamento europeo MiCA para ofrecer este tipo de servicios a particulares y entidades financieras.
El ataque se suma a otros robos de gran escala registrados en el sector. La fuente también menciona el reciente incidente sufrido por Binance, en el que se sustrajeron 6.300 millones de dólares y que el FBI atribuye a piratas informáticos norcoreanos. ZachXBT considera que Corea del Norte no parece estar detrás del caso de Crédit Mutuel Arkéa, ya que el movimiento de los fondos presenta diferencias respecto al patrón habitual del grupo Lazarus.
La identidad de los responsables y el método utilizado para acceder a los fondos siguen sin determinarse. También permanece abierta la cuestión central del caso: cuál fue exactamente el importe sustraído y qué parte, si la hubo, correspondía a criptomonedas.
