O banco francês Credit Mutuel Arkea perdeu até $133M em um ataque coordenado por um fornecedor e o dinheiro foi lavado via criptomoedas, mas o ledger público revelou o que o banco não viu.
O Hack do Credit Mutuel Arkea: a Criptomoeda Seguiu o que o Banco Não Viu
O Credit Mutuel Arkea, um banco cooperativo francês com 211,5 bilhões de euros em ativos e 5,8 milhões de membros, perdeu cerca de 100 milhões de euros ($112,6 milhões) após um hack que o banco divulgou em 5 de novembro. O investigador de on-chain ZachXBT (https://x.com/zachxbt) elevou a perda para até 118 milhões de euros ($133 milhões). De qualquer forma, os atacantes nunca tocaram na senha de um cliente. Eles entraram por meio de um provedor de serviço de terceiros, usaram as próprias contas do banco para transferir dinheiro para fora e converteram os ganhos em criptomoedas. Então aconteceu algo que a indústria bancária não previu: foi o blockchain público, e não o próprio monitoramento do banco, que os expôs.
Durante quinze anos, os bancos e seus reguladores disseram a quem quisesse ouvir que a criptomoeda é a via de pagamento preferida dos criminosos. O hack ao Credit Mutuel Arkea inverte essa narrativa. O elo mais fraco foi a própria rede de fornecedores do banco, a infraestrutura opaca, não auditada e privada da bancária correspondente. A parte que realmente funcionou foi a "perigosa": um livro-razão transparente, um investigador pseudônimo chamado ZachXBT e três corretoras de criptomoedas que bloquearam ou congelaram os fundos vinculados em poucos dias.
Principais conclusões
- ZachXBT avaliou a perda em até 118 milhões de euros (133 milhões de dólares); o próprio banco confirmou cerca de 100 milhões de euros (112,6 milhões de dólares) desaparecidos e afirmou ainda não saber quanto conseguirá recuperar.
- O fiat roubado foi convertido em cripto (USDC e USDT em ether, depois exchanges instantâneas, depois Monero), mas Kraken, Crypto.com e OKX bloquearam ou congelaram os fundos vinculados dentro de dias.
- ZachXBT sinalizou o roubo em 2 de novembro, antes de o banco divulgá-lo publicamente em 5 de novembro.
- ZachXBT avaliou que não se tratava do Grupo Lazarus da Coreia do Norte, mas de um grupo cibercriminal independente e sofisticado.
- O banco estava, ironicamente, no processo de solicitar uma licença MiCA para vender cripto a clientes de varejo.
O Quadro Geral: O Duto de Lavagem É Também o Duto de Execução
Cada história de lavagem de dinheiro tem dois trilhos: o que os criminosos usam para mover dinheiro e o que as forças da lei usam para rastreá-lo. Por décadas, esses trilhos eram a mesma coisa: o sistema de bancos correspondentes. Empresas de fachada, subfaturamento e superfaturamento de transações comerciais e jurisdições amigáveis permitiram que trilhões escorressem por bancos que ou não conseguiam ver ou não procuravam.
A criptomoeda deveria piorar isso. Em um sentido, piorou. Os ladrões da Arkea converteram o dinheiro em stablecoins, trocaram por ether, passaram por corretoras instantâneas como WellWallet e Kyrrex, atravessaram cadeias de blocos e guardaram parte dele em Monero. A Bitquery (https://bitquery.io/), uma empresa de análise de blockchain, rastreou US$ 108,8 milhões em USDC saindo de contas da Kraken, Crypto.com e OKX para 15 carteiras em cerca de 21 horas em 1 e 2 de novembro, e encontrou US$ 78,3 milhões ainda parados na Ethereum na tarde seguinte.
Mas aqui está o que os críticos das criptomoedas nunca quiseram admitir: o mesmo livro-razão público que permitiu que o dinheiro se movesse rapidamente foi o que tornou a transação visível. ZachXBT, um investigador pseudônimo trabalhando sozinho com um teclado, sinalizou os saques em 2 de novembro, antes mesmo de o banco dizer uma palavra. A Kraken detectou transferências chegando "grandes demais e rápidas demais para serem normais" e bloqueou as que ainda estavam em movimento. A Crypto.com congelou contas vinculadas. A OKX congelou uma conta institucional após detectar atividade incomum.
Um banco com 211,5 bilhões de euros em ativos e milhares de funcionários não conseguia ver 112,6 milhões de dólares saindo por suas próprias contas. Um cara na internet conseguiu.
Quem Ganha e Quem Perde
Os vencedores são a camada de conformidade que a criptomoeda ficou anos sendo ridicularizada por ter. As empresas de análise de blockchain, entre elas ZachXBT, Chainalysis, TRM Labs e Bitquery, acabam de receber seu melhor pitch de vendas em uma década. A Kraken, a Crypto.com e a OKX demonstraram que o bloco e o botão de congelamento, a coisa que os puristas da criptomoeda mais odeiam, é precisamente a coisa que impede que fundos roubados desapareçam. Os emissores de stablecoins obtiveram outro dado: quando um ladrão move dinheiro através do USDC e do USDT, o emissor pode congelá-lo, e apenas $3,7 milhões do total rastreado ainda estavam em USDC congelável no dia seguinte. Essa é uma funcionalidade que os reguladores adoram, e é por isso que "congelável" agora é um ponto de venda para a adoção institucional em vez de uma mancha na descentralização.
Os perdedores são as premissas legadas. Os bancos passaram anos dizendo aos reguladores que seus controles são superiores. O próprio monitoramento da Arkea não detectou o roubo; a violação ocorreu por meio de um prestador de serviços cuja plataforma detinha o que equivalia às chaves do tesouro do banco. O limite de confiança entre um banco e seus fornecedores acabou se tornando a superfície de ataque, e, sob o Ato Europeu de Resiliência Operacional Digital (DORA), em vigor desde janeiro de 2025, esse risco de terceiros agora é formalmente um problema do banco.
Existe um perdedor de segunda ordem que ninguém está nomeando: a própria narrativa de que "criptomoedas são para criminosos". Você não pode chamar credivelmente a cripto de via de lavagem quando um banco tradicional, e não uma exchange ou protocolo DeFi, foi o que foi roubado através de um fornecedor, e foi a cripto que produziu o rastreio.
Contexto Histórico: Bangladesh Bank, mas com um Livro-Razão Público
Isso já aconteceu antes, e a comparação é instrutiva. Em 2016, atacantes usaram o sistema de mensagens SWIFT para roubar $81 milhões da conta do Bangladesh Bank no Fed de Nova York. O dinheiro passou por cassinos e dinheiro em espécie, trilhas opacas que mataram o rastro quase instantaneamente. Grande parte nunca foi recuperada.
O hack da Arkea é a sequência de 2026 do roubo ao Banco de Bangladesh, com uma diferença crucial: a rota de saída foi uma blockchain pública. Onde os ladrões de 2016 desapareceram em fichas de cassino e corretores de dinheiro, os ladrões de 2026 foram direto para um livro-razão que registra tudo, para sempre. ZachXBT pôde rastrear o dinheiro porque o dinheiro não pôde se esconder completamente. Parte dele desapareceu em Monero e pontes entre cadeias, cerca de $30 milhões foram lavados antes que o banco divulgasse qualquer coisa, mas o fato de que todo o rastro é legível on-chain em tempo real é o ponto.
A outra coisa que é diferente é a ironia. A Arkea estava supostamente preparando uma licença MiCA para vender cripto a clientes varejistas. Um banco prestes a lucrar com cripto acabou de ser roubado e teve seu dinheiro lavado através de cripto. A instituição que dava lições à classe de ativos sobre conformidade foi a mesma cuja conformidade falhou.
A Lente do Futuro: Risco de Fornecedor Torna-se Risco Sistêmico
Aqui é para onde isto caminha num prazo de um a três anos. Os bancos dependem agora de um punhado de fornecedores profundamente integrados: processadores de pagamentos, fornecedores de sistemas de contabilidade central, prestadores de serviços geridos. Empresas como a Worldline, a Fiserv e a Temenos estão tão profundamente inseridas nas operações financeiras que uma violação em qualquer uma delas é uma violação de vários bancos de uma só vez. A Arkea descartou a Fortuneo, o seu banco online, como ponto de entrada e culpou a plataforma de um fornecedor externo. O fornecedor ainda não foi identificado. Esse silêncio é, em si, a história: o sistema não sabe qual é o único fornecedor que constitui o elo fraco sistémico e, ao abrigo do DORA, todos os bancos da UE são agora legalmente responsáveis pelos riscos de TIC que não controlam plenamente.
Esperem três coisas. Primeiro, uma repressão regulatória sobre o acesso de terceiros: escopo de menor privilégio, autorização dupla em novos beneficiários e kill switches em tempo real para tokens de API de fornecedores. Segundo, moedas de privacidade enfrentarão um confronto: Monero é o último elo em quase todas as correntes de lavagem hoje, e cada novo roubo a torna um alvo maior. Terceiro, e o mais consequente, a linha entre "segurança bancária" e "segurança cripto" se dissolve. O banco adotará a mesma monitoração on-chain que antes zombava, porque o ledger acabou por ser o policial melhor.
Ângulo do Trader: Risco de Contraparte é a Nova Variável
Não se trata de uma história de preço, e não deveria ser tratada como tal. Mas ela muda a forma como você deve pensar sobre onde guarda seu dinheiro e com quem faz negócios. As exchanges que agiram rápido, Kraken, Crypto.com, OKX, acabaram de provar que possuem equipes de conformidade e resposta funcionais. Isso vale algo, porque da próxima vez que um roubo de nove dígitos acontecer, a diferença entre ver os fundos vinculados congelados e assisti-los desaparecerem no Monero será o quão rápido sua plataforma pode agir.
A lição mais profunda é sobre a assimetria de confiança. Um banco com um balanço fortificado e mil funcionários de conformidade não conseguiu impedir que $112.6 milhões saíssem pela própria porta. A instituição "grande demais para falir" estava protegida por nada além das credenciais de um fornecedor. Enquanto isso, o canal de criptomoedas muito criticado, "não regulamentado", produziu um registro de auditoria público em tempo real. Se você está avaliando contrapartes, bancos, exchanges, custodiadores, a questão já não é mais "elas são regulamentadas?". É "elas conseguem ver seu próprio dinheiro se movendo?”
Encerrando
Então, aqui está a pergunta desconfortável que o lobby bancário não quer que seja feita: se um banco de 211 bilhões de euros pode perder $112,6 milhões através de um fornecedor de sua confiança, e um investigador pseudônimo em um blockchain público consegue rastrear a transação carteira por carteira, quem exatamente é o mais sofisticado?
O cripto não roubou o banco francês. Foi o próprio encanamento do banco. O cripto apenas escreveu o recibo e o entregou aos investigadores.
FAQ
Como o Credit Mutuel Arkea foi hackeado? Os atacantes invadiram a plataforma de um provedor de serviços de terceiros e, em seguida, usaram as próprias contas do banco para enviar transferências fraudulentas para outros bancos. O dinheiro foi posteriormente convertido em criptomoeda. As contas dos clientes não foram acessadas.
Quanto foi roubado da Arkea? ZachXBT estimou até 118 milhões de euros (US$ 133 milhões). O banco confirmou apenas a "ordem de grandeza", cerca de 100 milhões de euros (US$ 112,6 milhões), e afirmou em 5 de novembro que ainda estava trabalhando para recuperar o dinheiro, sem dizer quanto espera recuperar. Kraken, Crypto.com e OKX bloquearam ou congelaram os fundos vinculados.
Foi o grupo Lazarus da Coreia do Norte? Não. ZachXBT avaliou com alto grau de confiança que os padrões de lavagem não correspondem ao grupo Lazarus, indicando em vez disso um grupo cibercriminoso independente e sofisticado especializado em comprometimento de fornecedores.
Quais exchanges de criptomoedas estiveram envolvidas? Kraken, Crypto.com e OKX. A Kraken supostamente viu a maior parte dos fluxos de saída (cerca de 95% do total rastreado) e bloqueou o movimento de fundos; a Crypto.com congelou contas vinculadas e a OKX congelou uma conta institucional.
O que é a DORA e por que importa aqui? O Digital Operational Resilience Act (Lei Europeia de Resiliência Operacional Digital), em vigor desde janeiro de 2025, responsabiliza as empresas financeiras pelos riscos de TIC e de terceiros, incluindo violações que entram pela plataforma de um provedor de serviços, exatamente como no caso da Arkea.
DYOR: Crédit Mutuel Arkea (https://www.cm-arkea.com/) · ZachXBT (https://x.com/zachxbt) · Bitquery (https://bitquery.io/) · DORA (EIOPA) (https://www.eiopa.europa.eu/browse/digital-finance/digital-operational-resilience-act-dora_en)