ZachXBT señala al banco francés Crédit Mutuel Arkéa como presunta víctima de un robo cripto de más de 133 millones de dólares
El investigador on-chain ZachXBT ha identificado al grupo bancario francés Crédit Mutuel Arkéa como la presunta víctima de un robo de criptoactivos de más de 133 millones de dólares, ejecutado entre el 1 y el 2 de noviembre mediante retiradas desde cuentas en exchanges centralizados. A fecha de 4 de noviembre, el banco no ha confirmado ni desmentido el incidente. The Block, Cointelegraph y Journal du Coin le han pedido explicaciones y no han recibido respuesta. El caso importa por partida doble: sería uno de los primeros robos cripto de esta magnitud contra una entidad bancaria europea tradicional, y afecta a un grupo que, según L'Agefi, pidió en mayo autorización MiCA para ofrecer servicios de criptoactivos a sus clientes.
Qué se sabe y qué no
La cronología la ha ido reconstruyendo ZachXBT en su canal de Telegram. El lunes 2 de noviembre informó de que una «entidad de la UE» sin nombre había perdido más de 106 millones de dólares de varias cuentas en exchanges. Los fondos salieron en USDC y USDT. El martes elevó la cifra a más de 133 millones tras rastrear 27 millones adicionales en retiradas, algunas posteriores a su primera alerta. En la madrugada del miércoles 4 puso nombre a la entidad: Crédit Mutuel Arkéa, un banco cooperativo con más de 5,6 millones de clientes y unos 211.500 millones de euros en activos, según The Block. ZachXBT sospecha que la pérdida real es mayor si se cuentan operaciones OTC.
Los datos de la firma de análisis Bitquery, recogidos por Journal du Coin, sitúan la primera retirada desde OKX a las 12:25 UTC del 1 de noviembre. En unas 21 horas salieron 108,8 millones de dólares en USDC desde Kraken, Crypto.com y OKX hacia 15 wallets. Ledger Insights desglosa unos 108 millones por plataforma: 102 millones desde Kraken, 5,4 millones desde Crypto.com y 660.000 dólares desde OKX.
Después llegó el blanqueo habitual. Según Bitquery, unos 63 millones se convirtieron en ETH en pocas horas. Otra parte pasó por servicios de intercambio instantáneo como WellWallet y Kyrrex, se cambió a Monero a través de Wagyu y se movió entre cadenas mediante bridges. ZachXBT descarta «con un alto grado de confianza» la autoría del grupo norcoreano Lazarus, a diferencia del reciente robo a Binance.
Lo que nadie ha explicado es el origen. Ledger Insights subraya que el modo en que el dinero salió de la institución no se ve en la cadena de bloques. Tampoco está claro si los fondos eran del propio banco o de un proveedor que operaba por cuenta suya.
La respuesta de los exchanges y el coste del silencio
Kraken, por donde pasó la mayor parte del dinero, afirma que el incidente no se originó en su plataforma, que sus sistemas no han sido comprometidos y que no se ha tomado el control de ninguna cuenta de cliente. Asegura que ha restringido las cuentas vinculadas y que colabora con las autoridades. No ha dicho cuántas cuentas ni qué importe ha quedado bloqueado. Crypto.com también ha bloqueado fondos relacionados, y OKX ha empezado a revisar el caso, según Crypto Briefing.
ZachXBT critica que la falta de comunicación de la víctima permitió blanquear más de 30 millones de dólares que podrían haberse congelado. Journal du Coin indica que, a las 13:47 UTC del 2 de noviembre, quedaban 78 millones identificables en cadena, de los que 3,7 millones en USDC seguían siendo congelables por Circle. El contraste con el caso Binance es claro: según Decrypt, Tether congeló el USDT robado en Ethereum en 37 minutos, y Elliptic estima que las congelaciones inmovilizaron cerca del 44 % del botín.
Journal du Coin recuerda además que el reglamento europeo DORA obliga a las entidades financieras a notificar los incidentes informáticos graves a su supervisor en plazos muy cortos. Veinticuatro horas después de las primeras alertas, ni el banco ni sus supervisores habían comunicado nada en público.
Qué implica para un inversor español
Lo primero: no hay indicios de que los ahorros de clientes particulares estén afectados. Las retiradas salieron de cuentas en exchanges, no de depósitos bancarios, y Journal du Coin no aprecia impacto en clientes de filiales como Fortuneo o Crédit Mutuel de Bretagne. Mientras el banco no hable, todo lo publicado se basa en el rastreo de un único investigador.
El caso deja dos lecciones útiles para quien opera desde España:
- Que un banco ofrezca cripto no elimina el riesgo operativo. La llegada de la banca tradicional bajo MiCA aporta supervisión, pero la custodia de activos digitales sigue expuesta a robos que la estructura bancaria no evita por sí sola.
- La velocidad decide cuánto se recupera. Las stablecoins centralizadas como USDC o USDT pueden congelarse, pero solo mientras los fondos no se hayan convertido en ETH o Monero. Ante un robo o una estafa, avisar en las primeras horas al exchange, al emisor y a la policía es lo que más cambia el resultado. Si es su caso, puede consultar cómo funciona la recuperación de fondos.
Pendiente de confirmación
Falta la pieza esencial: la versión de Crédit Mutuel Arkéa y de sus supervisores. Hasta entonces, las cifras deben leerse como estimaciones on-chain y la atribución como no verificada. Habrá que seguir si el banco reconoce el incidente, cómo se produjo el acceso y si su solicitud de licencia MiCA se ve afectada.
Fuentes
- The Block — French bank Crédit Mutuel Arkéa exploited for over $133 million, ZachXBT says
- Cointelegraph — ZachXBT Names French Bank in Alleged $133M Crypto Theft
- Journal du Coin — Crédit Mutuel Arkéa visé par un vol crypto de 133 millions $, selon ZachXBT
- Ledger Insights — EU institution's suspected $133m theft was via ordinary exchange withdrawals, mostly at Kraken
- Crypto Briefing — French bank Crédit Mutuel Arkéa allegedly targeted in $133M crypto theft
- Decrypt — Mystery $106 Million Crypto Theft Hits EU Entity Days After Binance Hack