La banca francese Credit Mutuel Arkea ha perso fino a $133 milioni in un attacco guidato da un fornitore e il denaro è stato riciclato tramite crypto, ma il registro pubblico ha messo in evidenza ciò che la banca non aveva visto.
Il hack del Credit Mutuel Arkea: la crypto ha visto ciò che la banca non ha notato
Credit Mutuel Arkea, una banca cooperativa francese con 211,5 miliardi di euro di attività e 5,8 milioni di membri, ha perso circa 100 milioni di euro (112,6 milioni di dollari) a seguito di un attacco hacker rivelato il 5 novembre. L'analista della blockchain ZachXBT (https://x.com/zachxbt) stima la perdita a 118 milioni di euro (133 milioni di dollari) al massimo. In ogni caso, gli aggressori non hanno mai toccato le password dei clienti. Sono entrati tramite un fornitore di servizi terzi, hanno utilizzato gli stessi conti della banca per bonificare denaro e hanno convertito il ricavato in crypto. Poi è successo qualcosa che l'industria bancaria non aveva previsto: è stata la blockchain pubblica, non il monitoraggio interno della banca, a smascherarli.
Per quindici anni, le banche e i loro regolatori hanno detto a chiunque volesse ascoltare che la criptovaluta è il sistema di pagamento preferito dai criminali. L'hack di Credit Mutuel Arkea rovescia questa narrazione. Il punto debole era la propria rete di fornitori della banca, la conduttura opaca, non verificata e privata del banking di corrispondenza. La parte che ha funzionato davvero era proprio quella "pericolosa": un registro trasparente, un investigatore pseudonimo di nome ZachXBT e tre exchange cripto che hanno bloccato o congelato i fondi collegati entro pochi giorni.
Linee Guida Principali
- ZachXBT ha stimato la perdita fino a 118 milioni di euro ($133 milioni); la banca stessa ha confermato la scomparsa di circa 100 milioni di euro ($112.6 milioni) e afferma di non poter ancora dire quanto riuscirà a recuperare.
- La valuta fiat rubata è stata convertita in criptovalute (USDC e USDT in ether, poi scambi istantanei, poi Monero), ma Kraken, Crypto.com e OKX hanno bloccato o congelato i fondi collegati entro pochi giorni.
- ZachXBT ha segnalato il furto il 2 novembre, prima che la banca lo rendesse pubblico il 5 novembre.
- ZachXBT ha valutato che non si trattava del Lazarus Group della Corea del Nord, ma di un'organizzazione indipendente e sofisticata di cybercriminalità.
- La banca era, ironicamente, nell'atto di richiedere una licenza MiCA per vendere criptovalute ai clienti al dettaglio.
Il quadro più ampio: le condotte di riciclaggio sono anche condotte di enforcement
Ogni storia di riciclaggio di denaro ha due binari: quello usato dai criminali per spostare denaro e quello usato dalle forze dell'ordine per seguirlo. Per decenni quei binari erano la stessa cosa, il sistema bancario corrispondente. Società fantasma, fatturazione errata del commercio e giurisdizioni amichevoli hanno permesso a trilioni di fluire attraverso banche che non riuscivano a vederlo o non volevano cercare.
Crypto era previsto che peggiorasse le cose. In un certo senso lo ha fatto. I ladri di Arkea hanno convertito il denaro in stablecoin, lo hanno scambiato in ether, lo hanno fatto passare attraverso exchange istantanei come WellWallet e Kyrrex, lo hanno pontato tra catene e ne hanno accantonato una parte in Monero. Bitquery (https://bitquery.io/), un'azienda di analisi blockchain, ha rintracciato 108,8 milioni di dollari in USDC usciti da conti Kraken, Crypto.com e OKX verso 15 portafogli in circa 21 ore l'1 e il 2 novembre, e ha rilevato 78,3 milioni di dollari ancora presenti su Ethereum il pomeriggio successivo.
Ma ecco ciò che i critici delle criptovalute non hanno mai voluto ammettere: lo stesso registro pubblico che ha permesso ai fondi di muoversi rapidamente è ciò che li ha resi visibili. ZachXBT, un investigatore pseudonimo solitario con una tastiera, ha segnalato i prelievi il 2 novembre, prima che la banca aprisse bocca. Kraken ha visto trasferimenti in arrivo "troppo grandi e troppo veloci per essere ordinari" e ha bloccato quelli ancora in movimento. Crypto.com ha congelato i conti collegati. OKX ha congelato un conto istituzionale dopo aver rilevato attività insolite.
Una banca con 211,5 miliardi di euro di attività e migliaia di dipendenti non è riuscita a vedere 112,6 milioni di dollari uscire attraverso i propri conti. Un tizio su Internet ci è riuscito.
Chi vince e chi perde
I vincitori sono lo strato di compliance per il quale la crypto è stata presa in giro per anni. Le società di analisi blockchain, tra cui ZachXBT, Chainalysis, TRM Labs e Bitquery, hanno appena ricevuto la loro miglior presentazione commerciale di un decennio. Kraken, Crypto.com e OKX hanno dimostrato che il blocco e il pulsante di congelamento, la cosa che i puristi della crypto odiano di più, è esattamente ciò che impedisce ai fondi rubati di scomparire. Gli emittenti di stablecoin hanno ottenuto un altro elemento di prova: quando un ladro sposta denaro attraverso USDC e USDT, l'emittente può congelarlo, e solo 3,7 milioni di dollari del totale rintracciato erano ancora in USDC congelabile il giorno successivo. Questa è una caratteristica che i regolatori amano, ed è il motivo per cui "congelabile" è diventato ora un punto di forza per l'adozione istituzionale piuttosto che un macchia sulla decentralizzazione.
Le perdenti sono le assunzioni obsolete. Le banche hanno passato anni a dire ai regolatori che i loro controlli sono superiori. Il monitoraggio dello stesso Arkea ha perso di vista il furto: la compromissione è avvenuta tramite un fornitore i cui piattaforme detenevano ciò che equivaleva alle chiavi del tesoro della banca. Il confine di fiducia tra una banca e i suoi fornitori è appena diventato la superficie di attacco e, sotto il Digital Operational Resilience Act (DORA) dell'Europa, in vigore da gennaio 2025, quel rischio di terze parti è ora formalmente un problema della banca.
C'è una seconda perdente di ordine superiore che nessuno sta nominando: la narrazione stessa del "cripto è per criminali". Non puoi definire credibilmente il cripto come rotaia di riciclaggio quando è stata una banca tradizionale, non uno scambio e non un protocollo DeFi, quella che è stata derubata tramite un fornitore, e il cripto è stato ciò che ha prodotto la traccia di revisione.
Contesto storico: Bangladesh Bank, ma con un registro pubblico
Questo è già accaduto in passato e il paragone è illuminante. Nel 2016, gli aggressori hanno utilizzato il sistema di messaggistica SWIFT per sottrarre 81 milioni di dollari dal conto di Bangladesh Bank presso la Federal Reserve di New York. Il denaro è finito in casinò e contanti, canali opachi che hanno cancellato quasi istantaneamente le tracce. Gran parte di esso non è mai stato recuperato.
L'attacco ad Arkea è il seguito, nel 2026, del furto alla Bangladesh Bank, con una differenza fondamentale: la via di uscita era una blockchain pubblica. Dove i ladri del 2016 svanirono dietro fiches da casinò e corrieri di contanti, quelli del 2026 sono finiti dritti in un registro che registra tutto, per sempre. ZachXBT è riuscito a seguire i soldi perché i soldi non potevano nascondersi completamente. Una parte è scomparsa in Monero e nei bridge cross-chain, circa 30 milioni di dollari sono stati riciclati prima che la banca facesse qualsiasi dichiarazione, ma il punto è che l'intera traccia è leggibile on-chain in tempo reale.
L'altra differenza è l'ironia. Arkea avrebbe ottenuto una licenza MiCA per vendere cripto ai clienti retail. Una banca che stava per trarre profitto dalle cripto è stata appena rubata e utilizzata per il riciclaggio tramite cripto. L'istituzione che faceva la lezione sulla classe di attività in materia di conformità è stata proprio quella in cui la conformità è venuta meno.
La lente del futuro: il rischio dei fornitori diventa rischio sistemico
Ecco dove ci porterà questa traiettoria nei prossimi uno a tre anni. Le banche dipendono ora da un numero esiguo di fornitori profondamente integrati: processori di pagamenti, fornitori di sistemi bancari di base, provider di servizi gestiti. Aziende come Worldline, Fiserv e Temenos sono così radicate nelle operazioni finanziarie che una violazione di una qualsiasi di esse equivale a una violazione simultanea di molte banche. Arkea ha escluso Fortuneo, la sua banca online, come punto di ingresso e ha attribuito la colpa alla piattaforma di un provider esterno. Il provider non è ancora stato identificato. Quel silenzio è di per sé la storia: il sistema non sa quale singolo fornitore sia il punto debole sistemico, e in base a DORA, ogni banca dell'UE è ora legalmente responsabile del rischio ICT che non controlla completamente.
Aspettati tre cose. Innanzitutto, una svolta normativa sull'accesso di terze parti: limitazione dei privilegi in base allo stretto necessario, autorizzazione duale per i nuovi beneficiari e interruzioni immediate in tempo reale sui token API dei fornitori. Secondo, le privacy coin affrontano un conto alla rovescia: Monero è l'ultimo anello in quasi ogni catena di riciclaggio, e ogni nuovo colpo la rende un bersaglio ancora più grande. Terzo, e più consequentialmente, il confine tra "sicurezza bancaria" e "sicurezza crypto" si dissolve. La banca adotterà lo stesso monitoraggio on-chain che un tempo prendeva in giro, perché si è rivelato che il registro è la migliore polizza.
Prospettiva del trader: il rischio di controparte è la nuova variabile
Non è una storia di prezzi e non dovrebbe essere trattata come tale. Ma cambia il modo in cui devi pensare a dove tieni i tuoi soldi e con chi fai affari. Gli exchange che hanno agito in fretta, Kraken, Crypto.com, OKX, hanno solo dimostrato di avere team di conformità e risposta funzionanti. Questo vale qualcosa, perché la prossima volta che arriverà un furto a nove cifre, la differenza tra vedere i fondi tracciati congelati e vederli svanire in Monero sta nella velocità con cui il tuo exchange può agire.
La lezione più profonda riguarda l'asimmetria di fiducia. Una banca con uno stato patrimoniale fortificato e un migliaio di ufficiali di compliance non è riuscita a impedire che 112,6 milioni di dollari uscissero dalla propria porta. L'istituzione "troppo grande per fallire" era protetta solo dalle credenziali di un fornitore. Nel frattempo, il binario crittografico molto criticato e "non regolamentato" ha prodotto una traccia di audit pubblica in tempo reale. Se stai valutando le controparti, banche, exchange, depositari, la domanda non è più "sono regolamentate?". È "riescono a vedere i propri fondi muoversi?"
Chiusura
Ecco quindi la domanda scomoda che il lobby bancario non vuole essere posta: se una banca da 211 miliardi di euro può perdere $112,6 milioni attraverso un fornitore di cui si fidava, e un investigatore pseudonimo su una blockchain pubblica riesce a seguirla portafoglio per portafoglio, chi è esattamente il più sofisticato?
Le crypto non hanno rubato alla banca francese. È stata la stessa infrastruttura della banca a farlo. Le crypto hanno solo emesso la ricevuta e l'hanno consegnata agli investigatori.
FAQ
Come è stato violato Credit Mutuel Arkea? Gli attaccanti hanno violato la piattaforma di un fornitore di servizi di terze parti, poi hanno utilizzato gli stessi conti della banca per inviare bonifici fraudolenti ad altre banche. I fondi sono stati successivamente convertiti in criptovalute. I conti dei clienti non sono stati accessi.
Quanto è stato rubato ad Arkea? ZachXBT ha stimato fino a 118 milioni di euro (133 milioni di dollari). La banca ha confermato solo "l'ordine di grandezza", intorno ai 100 milioni di euro (112,6 milioni di dollari), e il 5 novembre ha dichiarato di essere ancora al lavoro per recuperare il denaro, senza specificare quanto si aspetta di riavere indietro. Kraken, Crypto.com e OKX hanno bloccato o congelato i fondi collegati.
Si tratta del gruppo Lazarus della Corea del Nord? No. ZachXBT ha valutato con alto grado di certezza che i modelli di riciclaggio non corrispondono al gruppo Lazarus, puntando invece il dito contro un consorzio criminale informatico indipendente e sofisticato specializzato in compromissioni di fornitori.
Quali exchange di criptovaluta erano coinvolti? Kraken, Crypto.com e OKX. Kraken avrebbe registrato la maggior parte delle uscite (circa il 95% del totale tracciato) e bloccato il movimento dei fondi; Crypto.com ha congelato i collegamenti ai conti e OKX ha congelato un conto istituzionale.
Cos'è il DORA e perché conta in questo caso? Il Digital Operational Resilience Act dell'UE, in vigore da gennaio 2025, rende le imprese finanziarie responsabili dei rischi legati alle TIC e ai fornitori terzi, inclusi i violazioni che entrano attraverso la piattaforma di un fornitore di servizi, esattamente come nel caso Arkea.
DYOR: Crédit Mutuel Arkea (https://www.cm-arkea.com/) · ZachXBT (https://x.com/zachxbt) · Bitquery (https://bitquery.io/) · DORA (EIOPA) (https://www.eiopa.europa.eu/browse/digital-finance/digital-operational-resilience-act-dora_en)