ZachXBT afirmó que una institución de Europa Occidental estaba ocultando un ataque informático por valor de 133 millones de dólares

El lunes, nadie sabía quién había perdido el dinero. El miércoles por la mañana, la víctima ya tenía un nombre, una declaración y muchas preguntas que responder.

Todo comenzó el 2 de noviembre, cuando ZachXBT publicó una alerta en su canal de Telegram. Según él, una entidad de la UE cuyo nombre no reveló había perdido más de 106 millones de dólares de varias cuentas de exchanges centralizados el día anterior. El atacante retiró todo en USDC y USDT, y luego comenzó a cambiarlo a ETH, pasando por diferentes plataformas de intercambio instantáneo y convirtiendo parte de ello a Monero. Publicó 11 direcciones. DEGEN NEWS publicó la alerta en X en cuestión de horas, y Wu Blockchain también la difundió.

Un día después, la cifra ascendía a 133 millones de dólares. ZachXBT había detectado otros 27 millones de dólares en retiradas de las plataformas de intercambio, algunas de ellas realizadas tras su primera publicación. Su hipótesis era que una gran institución financiera de Europa Occidental había sido víctima de un ataque y que «actualmente se estaba encubriendo el asunto». Lo que más le molestaba era el momento en que se había producido. Según él, se blanquearon más de 30 millones de dólares que las fuerzas del orden de la UE podrían haber congelado si el incidente se hubiera revelado adecuadamente.

A última hora del 3 de noviembre reveló el nombre de la entidad: Crédit Mutuel Arkéa, un banco cooperativo francés con unos 211 500 millones de euros en activos y más de 5,6 millones de clientes. Afirmó que el ataque se prolongó durante varios días. «Sospecho que la cantidad robada es mayor si se tiene en cuenta la actividad extrabursátil», añadió.

La respuesta del banco

La parte de la historia en la que «seguían ocultándolo» no duró mucho. El 4 de noviembre, Arkéa comunicó a medios franceses, entre ellos Cryptoast y France Télévisions, que había sufrido un ataque que permitió operaciones fraudulentas. Afirmó que el incidente ya estaba controlado, que los clientes no sufrirían consecuencias económicas y que algunas transacciones se habían suspendido temporalmente. No facilitó cifras sobre las pérdidas ni explicó cómo lograron acceder los atacantes.

Así pues, el banco admitió el incidente al día siguiente de que se revelara su nombre. Si informó a las autoridades de la UE antes de que se transfiriera el dinero es otra cuestión, y no he visto nada que lo aclare en ningún sentido.

Quizá lo que se robó no fueron criptomonedas

Aquí es donde la cosa se vuelve extraña. Según Cryptoast, el periodista Grégory Raymond informó de que el dinero podría haber salido del banco como moneda fiduciaria y haberse convertido en criptomonedas posteriormente, como parte del proceso de blanqueo. Su fuente describió una red organizada de cuentas «mula». Informes franceses vincularon el fraude a Fortuneo, el banco en línea de Arkéa. Una fuente planteó dos explicaciones: un ataque a los sistemas de pago de Fortuneo o una maniobra de ingeniería social al estilo del fraude del «CEO». Otra fuente afirma que los fondos se destinaron a cuentas en plataformas de intercambio abiertas con identidades falsas que lograron eludir el proceso de KYC. El análisis de Bitquery de los datos en cadena apunta a que el atacante controlaba los datos de acceso a las plataformas de intercambio. Nada de esto está confirmado, y las versiones no encajan del todo.

La cuantía también sigue siendo imprecisa. 133 millones de dólares equivalen a unos 118 millones de euros. Algunas noticias francesas hablan de «más de 100 millones de euros». ZachXBT cree que la cifra real es mayor.

Lo que muestra la cadena

Bitquery rastreó 108,8 millones de dólares en USDC que salieron de cuentas en Kraken, Crypto.com y OKX a lo largo de unas 21 horas. En un intervalo de cuatro horas, aproximadamente 62,98 millones de dólares en stablecoins se convirtieron en 27 553 ETH. A las 13:47 UTC del 2 de noviembre, aún quedaban unos 78,3 millones de dólares en carteras vinculadas a los atacantes, 30,5 millones de dólares ya habían salido de las direcciones rastreadas y solo 3,74 millones de dólares eran en USDC que Circle podía congelar.

Kraken afirma que restringió las cuentas vinculadas al incidente. Crypto.com afirma que bloqueó los fondos relacionados. Ambas afirman que sus propias plataformas no se vieron comprometidas. Según se informó, OKX estaba revisando las acusaciones.

Ambas declaraciones bien podrían ser ciertas. Aun así, 21 horas es mucho tiempo para que más de 100 millones de dólares salgan de las cuentas de tres grandes plataformas que cuentan con equipos de cumplimiento normativo.

ZachXBT también afirma con un «alto grado de confianza» que no se trata de Lazarus. La ruta de blanqueo es diferente, con intercambios instantáneos, Wagyu para la conversión a Monero y numerosos saltos de cadena. El momento en que se ha producido lo hace llamativo: ocurre pocos días después del hackeo a Binance, en el que se sustrajeron aproximadamente 6.400 millones de dólares, que el FBI atribuyó al grupo norcoreano TraderTraitor. Este caso es más pequeño y más confuso, y nadie sabe quién es el autor del ataque.

Lo que aún queda por aclarar

Ni la cantidad, ni el método, ni la identidad del atacante están confirmados. Arkéa afirma que se reanudarán las operaciones normales una vez que se hayan realizado las comprobaciones de seguridad finales. Que se pueda recuperar parte de los fondos restantes depende de cuánto quede aún en esas carteras, y esa cifra cambiaba rápidamente.