Crédit Mutuel Arkéa sufre un ciberataque: unos 118 millones robados

Fondos convertidos en criptomonedas

La alerta partió del investigador onchain ZachXBT. El domingo informó de retiradas de más de 106 millones de dólares en USDC y USDT de una «entidad europea no identificada» y el martes elevó su estimación a 133 millones. Parte de las retiradas se produjo después de su primer aviso.

Según el periodista Grégory Raymond, el ataque apuntó a Fortuneo, el banco en línea del grupo. Los estafadores habrían emitido transferencias eligiendo ellos mismos el nombre del beneficiario, con destino a cuentas abiertas con identidades falsas en plataformas como Kraken, OKX y Crypto.com. Una fuente cercana al caso describe dinero tradicional sacado del banco y cambiado a criptomonedas mediante una red de cuentas «mula».

Según el análisis de ZachXBT, las stablecoins se convierten en ETH, pasan por servicios de intercambio instantáneo (WellWallet, Kyrrex) y se cambian por Monero (XMR), diseñado para que las transacciones no sean rastreables. Descarta «con un alto grado de confianza» al grupo norcoreano Lazarus y calcula que se podrían haber congelado más de 30 millones de dólares si el incidente se hubiera comunicado a tiempo. El martes por la tarde, el banco dijo no poder confirmar la información.

Impacto para los clientes

Arkéa afirma que los intereses de los clientes están «plenamente protegidos». Las cuentas de particulares no parecen afectadas, aunque algunas operaciones se suspendieron por precaución. La aplicación muestra desde hace horas un mensaje de error y no se pueden hacer transferencias. El banco indicó a la AFP que se reanudarán pronto, tras las últimas verificaciones de seguridad.

Como suele ocurrir tras un ataque muy mediático, los estafadores pueden aprovechar la situación. Conviene desconfiar de llamadas, SMS o correos de supuestos asesores que mencionen el ataque y no compartir nunca códigos bancarios.