El banco francés Credit Mutuel Arkea perdió hasta 133 millones de dólares en un hackeo impulsado por un proveedor, y el dinero fue lavado a través de criptomonedas, pero el registro público reveló lo que el banco pasó por alto.
El hackeo de Credit Mutuel Arkea: las criptomonedas siguieron lo que el banco pasó por alto
Crédit Mutuel Arkea, un banco cooperativo francés con 211.5 mil millones de euros en activos y 5.8 millones de miembros, está perdiendo aproximadamente 100 millones de euros ($112.6 millones) tras un hackeo que el banco reveló el 5 de noviembre. El investigador on-chain ZachXBT (https://x.com/zachxbt) situó la pérdida más alta, en hasta 118 millones de euros ($133 millones). De cualquier manera, los atacantes nunca tocaron la contraseña de un cliente. Entraron a través de un proveedor de servicios de terceros, usaron las propias cuentas del banco para transferir dinero y convirtieron los beneficios en criptomonedas. Entonces ocurrió algo que la industria bancaria no previó: la blockchain pública, y no el propio monitoreo del banco, fue lo que los expuso.
Durante quince años, los bancos y sus reguladores han dicho a cualquiera que quisiera escuchar que la criptomoneda es el canal de pago favorito de los criminales. El hackeo de Credit Mutuel Arkea invierte esa narrativa. El eslabón más débil fue la propia red de proveedores del banco: la fontanería opaca, no auditada y privada de la banca de corresponsal. Lo que realmente funcionó fue la parte "peligrosa": un libro de contabilidad transparente, un investigador pseudónimo llamado ZachXBT y tres exchanges de criptomonedas que bloquearon o congelaron los fondos vinculados en cuestión de días.
Conclusiones clave
- ZachXBT sitúa la pérdida en hasta 118 millones de euros (133 millones de dólares); el propio banco ha confirmado que faltan alrededor de 100 millones de euros (112,6 millones de dólares) y afirma que aún no puede decir cuánto recuperará.
- El dinero fiduciario robado se convirtió en cripto (USDC y USDT a ether, luego intercambios instantáneos, luego Monero), pero Kraken, Crypto.com y OKX bloquearon o congelaron los fondos vinculados en pocos días.
- ZachXBT detectó el robo el 2 de noviembre, antes de que el banco lo hiciera público el 5 de noviembre.
- ZachXBT determinó que no se trataba del Grupo Lazarus de Corea del Norte, sino de un anillo de cibercrimen independiente y sofisticado.
- El banco estaba, irónicamente, en proceso de solicitar una licencia MiCA para vender criptomonedas a clientes minoristas.
El panorama general: el canal de blanqueo es también el canal de aplicación
Cada historia de lavado de dinero tiene dos vías: la que utilizan los criminales para mover dinero, y la que emplea la aplicación de la ley para seguirla. Durante décadas esas vías fueron lo mismo: el sistema de banca correspondiente. Empresas fantasma, sobre-facturación en el comercio y jurisdicciones complacientes permitieron que billones circularen por bancos que o bien no podían verlo o bien no se tomaron la molestia de buscarlo.
El cripto debía empeorar esto. En cierto sentido, lo hizo. Los ladrones de Arkea convirtieron el dinero en stablecoins, lo cambiaron por ether, lo hicieron pasar por intercambios instantáneos como WellWallet y Kyrrex, lo pasaron por puentes entre cadenas y estacionaron parte en Monero. Bitquery (https://bitquery.io/), una firma de análisis de cadenas de bloques, rastreó $108.8 millones en USDC que salieron de cuentas de Kraken, Crypto.com y OKX hacia 15 billeteras en aproximadamente 21 horas el 1 y 2 de noviembre, y halló que $78.3 millones seguían en Ethereum la tarde siguiente.
Pero aquí está lo que los críticos de las criptomonedas nunca quisieron admitir: el mismo libro mayor público que permitió que el dinero se moviera rápidamente es lo que lo hizo visible. ZachXBT, un investigador solitario y pseudónimo con un teclado, señaló las retiradas el 2 de noviembre, antes de que el banco dijera una palabra. Kraken vio transferencias que llegaban "demasiado grandes y demasiado rápidas para ser ordinarias" y bloqueó las que aún se estaban moviendo. Crypto.com congeló cuentas vinculadas. OKX congeló una cuenta institucional después de detectar actividad inusual.
Un banco con 211.5 mil millones de euros en activos y miles de empleados no pudo ver salir 112,6 millones de dólares por sus propias cuentas. Un tío de internet, sí.
Quién gana y quién pierde
Los ganadores son la capa de cumplimiento que el cripto se burló durante años. Las firmas de análisis blockchain, entre ellas ZachXBT, Chainalysis, TRM Labs y Bitquery, acaban de obtener el mejor pitch de ventas de su década. Kraken, Crypto.com y OKX demostraron que el botón de bloqueo y congelación, la cosa que los puristas del cripto más odian, es precisamente lo que impide que los fondos robados desaparezcan. Los emisores de stablecoins obtuvieron otro dato: cuando un ladrón mueve dinero a través de USDC y USDT, el emisor puede congelarlo, y solo 3.7 millones de dólares del total rastreable seguían en USDC congelable al día siguiente. Esa es una característica que a los reguladores les encanta, y es la razón por la que "congelable" ahora es un punto de venta para la adopción institucional en lugar de una mancha en la descentralización.
Los perdedores son los supuestos obsoletos. Los bancos han dedicado años a decirles a los reguladores que sus controles son superiores. La propia monitorización de Arkea no detectó el robo; la vulneración se produjo a través de un proveedor de servicios cuya plataforma custodiaba lo que equivalía a las llaves de la tesorería del banco. La frontera de confianza entre un banco y sus proveedores se ha convertido simplemente en la superficie de ataque, y bajo la Ley de Resiliencia Operativa Digital (DORA) de Europa, en vigor desde enero de 2025, ese riesgo de terceros es ahora formalmente responsabilidad del banco.
Existe un perdedor de segundo orden al que nadie se atreve a nombrar: la propia narrativa de que "la cripto es para criminales". No puedes afirmar con credibilidad que la cripto es la vía de lavado de dinero cuando un banco tradicional, no un exchange ni un protocolo DeFi, fue el que resultó robado a través de un proveedor, y fue la cripto la que generó el rastro de auditoría.
Contexto histórico: Bangladesh Bank, pero con un registro público
Esto ya ha sucedido antes y la comparación es instructiva. En 2016, los atacantes utilizaron el sistema de mensajería SWIFT para robar $81 millones de la cuenta de Bangladesh Bank en la Reserva Federal de Nueva York. El dinero pasó por casinos y efectivo, carriles opacos que eliminaron las huellas casi al instante. Gran parte del dinero nunca fue recuperado.
El hack de Arkea es la secuela de Bangladesh Bank de 2026, con una diferencia crucial: el camino de salida fue una cadena pública. Donde los ladrones de 2016 desaparecieron en fichas de casino y couriers de efectivo, los ladrones de 2026 corrieron directamente hacia un libro de contabilidad que registra todo, para siempre. ZachXBT pudo seguir el dinero porque el dinero no pudo esconderse por completo. Parte desapareció en Monero y puentes entre cadenas; aproximadamente $30 millones fueron lavados antes de que el banco revelara algo, pero el punto es que toda la pista es legible en la cadena en tiempo real.
Lo otro que es diferente es la ironía. Se reportó que Arkea estaba preparando una licencia MiCA para vender cripto a clientes minoristas. Un banco a punto de ganar con cripto acaba de ser robado y el dinero fue lavado a través de cripto. La institución que daba lecciones a la clase de activos sobre cumplimiento fue la que incumplió.
The Future Lens: El riesgo de proveedor se convierte en riesgo sistémico
Así es hacia donde vamos en uno a tres años. Los bancos ahora dependen de un puñado de proveedores profundamente integrados: procesadores de pagos, proveedores de banca central, proveedores de servicios gestionados. Empresas como Worldline, Fiserv y Temenos están tan dentro de las operaciones financieras que una vulneración de cualquiera de ellas es una vulneración de muchos bancos a la vez. Arkea descartó Fortuneo, su banco en línea, como punto de entrada y culpó a la plataforma de un proveedor externo. El proveedor todavía no ha sido identificado. Ese silencio es en sí mismo la historia: el sistema no sabe qué único proveedor es el eslabón débil sistémico, y bajo DORA, cada banco de la UE ahora es legalmente responsable del riesgo TIC que no controla plenamente.
Esperen tres cosas. Primero, una represión regulatoria sobre el acceso de terceros: alcance de mínimos privilegios, autorización dual para nuevos beneficiarios y botones de apagado en tiempo real para los tokens de API de los proveedores. Segundo, las monedas de la privacidad enfrentan un ajuste de cuentas: Monero es el último eslabón en casi cada cadena de lavado ahora, y cada nuevo robo la convierte en un objetivo más grande. Tercero, y lo más consecuente, la línea entre "la seguridad bancaria" y "la seguridad cripto" se desvanece. El banco adoptará el mismo monitoreo en la cadena que antes se burlaba, porque el libro mayor resultó ser el mejor policía.
Ángulo del operador: El riesgo de contraparte es la nueva variable
Esto no es una historia de precios, y no debería tratarse como tal. Pero cambia la forma en que debes pensar sobre dónde guardas tu dinero y con quién haces negocios. Los intercambios que actuaron rápido, Kraken, Crypto.com, OKX, acaban de demostrar que tienen equipos de cumplimiento y respuesta que funcionan. Eso vale algo, porque la próxima vez que ocurra un robo por nueve cifras, la diferencia entre que los fondos vinculados se congelen y verlos desaparecer en Monero es la rapidez con que pueda actuar tu plataforma.
La lección más profunda es la asimetría de confianza. Un banco con un balance de fortaleza y mil oficiales de cumplimiento no pudo evitar que $112.6 millones salieran por su propia puerta. La institución "demasiado grande para fallar" estaba protegida únicamente por las credenciales de un proveedor. Mientras tanto, el sistema de criptomonedas, tan criticado y "no regulado", produjo un rastro de auditoría público en tiempo real. Si estás evaluando contrapartes, bancos, intercambios, custodios, la pregunta ya no es "¿están regulados?". Es "¿pueden ver mover su propio dinero?"
Cerrar
Así que aquí está la pregunta incómoda que el lobby bancario no quiere que se haga: si un banco de 211 mil millones de euros puede perder 112,6 millones de dólares a través de un proveedor de confianza, y un investigador anónimo en una blockchain pública puede rastrearlo billetera por billetera, ¿quién es exactamente el sofisticado?
Cripto no robó al banco francés. Lo hizo la propia infraestructura del banco. Cripto solo escribió el recibo y lo entregó a los investigadores.
FAQ
¿Cómo hackearon a Credit Mutuel Arkea? Los atacantes vulneraron la plataforma de un proveedor de servicios de terceros y luego usaron las propias cuentas del banco para enviar transferencias fraudulentas a otros bancos. El dinero fue convertido posteriormente a criptomonedas. No se accedió a las cuentas de los clientes.
¿Cuánto se robó de Arkea? ZachXBT estimó hasta 118 millones de euros (133 millones de dólares). El banco confirmó solo la «magnitud», alrededor de 100 millones de euros (112,6 millones de dólares), y dijo el 5 de noviembre que todavía trabajaba en recuperar el dinero sin decir cuánto espera recuperar. Kraken, Crypto.com y OKX han bloqueado o congelado fondos vinculados.
¿Fue este el Grupo Lazarus de Corea del Norte? No. ZachXBT determinó con un alto grado de confianza que los patrones de lavado no coinciden con el Grupo Lazarus y apuntan, en cambio, a un cibercrimen independiente y sofisticado especializado en la vulneración de proveedores.
¿Qué intercambios de criptomonedas estuvieron involucrados? Kraken, Crypto.com y OKX. Kraken habría visto la mayor parte de los flujos de salida (aproximadamente el 95% del total rastreado) y bloqueó el movimiento de fondos; Crypto.com congeló las cuentas vinculadas y OKX congeló una cuenta institucional.
¿Qué es DORA y por qué es relevante aquí? El Reglamento Digital Operativo de la UE (Digital Operational Resilience Act), en vigor desde enero de 2025, hace que las empresas financieras sean responsables de la gestión de riesgos de TI y de terceros, incluidos los incidentes de seguridad que acceden a través de la plataforma de un proveedor de servicios, tal como sucedió en el caso de Arkea.
DYOR: Crédit Mutuel Arkea (https://www.cm-arkea.com/) · ZachXBT (https://x.com/zachxbt) · Bitquery (https://bitquery.io/) · DORA (EIOPA) (https://www.eiopa.europa.eu/browse/digital-finance/digital-operational-resilience-act-dora_en)