Il colpo a Crédit Mutuel Arkéa: come 133 milioni di dollari sono usciti tramite un fornitore di servizi e sono diventati stablecoin e Monero
Crédit Mutuel Arkéa, gruppo bancario cooperativo francese con 5,8 milioni di soci e 211,5 miliardi di euro di attivi, ha confermato che un intruso ha raggiunto i suoi sistemi attraverso la piattaforma di un fornitore di servizi e ha usato il conto aziendale della banca stessa per inviare circa 118 milioni di euro, ossia circa 133 milioni di dollari, verso conti presso altre banche. La banca ha reso noto l'incidente il 4 novembre 2026 e si rifiuta di confermare l'importo.
Cosa la banca ha confermato e cosa no
In dichiarazioni riprese dai media francesi e da BleepingComputer, Arkéa ha parlato di un attacco sofisticato e ha affermato che l'intruso è entrato direttamente attraverso la piattaforma di un fornitore di servizi. La banca ha escluso esplicitamente Fortuneo, la propria banca online, come punto d'ingresso, e ha escluso l'errore umano da parte del personale. Ha precisato che i bonifici sono partiti dal conto di Arkéa e non da conti dei clienti, e che gli attivi dei clienti non sono stati toccati. Alcuni bonifici hanno subito ritardi mentre la banca sospendeva per precauzione determinate operazioni. Quello che non ha fatto è confermare la cifra. Interrogata sulla stima di 133 milioni di dollari, ha detto a BleepingComputer che non conferma l'informazione e che può validare solo l'ordine di grandezza. Vale la pena tenere presente questa cautela: l'importo è una ricostruzione dell'investigatore a partire dai dati on-chain, non un numero avallato dalla vittima. «Non confermiamo questa informazione e possiamo validare solo l'ordine di grandezza.» Crédit Mutuel Arkéa, citata da BleepingComputer
Come un bonifico diventa una stablecoin
La meccanica finora riportata è poco spettacolare. Secondo il lavoro di Grégory Raymond e altri, riassunto da ZATAZ, i bonifici fraudolenti si sono protratti per diversi giorni anziché in un'unica ondata, e i nomi dei beneficiari riportati sui bonifici sono stati scelti per coincidere con i nomi dei conti riceventi. Da lì il denaro è stato prelevato in USDC e USDT, le due maggiori stablecoin denominate in dollari, verso conti presso exchange centralizzati. IT for Business, citando la società di dati blockchain Bitquery, riporta che 108,8 milioni di dollari in USDC hanno lasciato conti presso Kraken, Crypto.com e OKX in circa 20 ore l'1 e il 2 novembre, distribuiti su 15 wallet distinti. Perché il conto sull'exchange è il collo di bottiglia
Questa è la parte della storia su cui vale la pena soffermarsi. Un bonifico bancario può essere richiamato, contestato e stornato lungo la catena dei corrispondenti; un trasferimento di stablecoin no. Ma una stablecoin detenuta presso un exchange regolamentato non è nemmeno anonima, ed è per questo che i conti stessi erano, stando ai resoconti, il problema che i truffatori hanno dovuto risolvere per primi. I resoconti li descrivono come aperti in anticipo con identità falsificate abbastanza credibili da superare i controlli di adeguata verifica della clientela, con i nomi dei beneficiari dei bonifici adattati a quelli dei titolari affinché la banca mittente li accettasse. IT for Business aggiunge che i conti sembrano essere stati aperti direttamente con identità false anziché sottratti a clienti reali, e che undici dei 15 wallet di destinazione avevano già ricevuto fondi dagli stessi exchange, in alcuni casi mesi prima. Se regge, descrive una preparazione e non un'improvvisazione: conti su exchange e infrastruttura di wallet pronti prima che il primo bonifico lasciasse la banca. Ventisettemila ether, poi Monero
Nella notte tra l'1 e il 2 novembre, circa 63 milioni di dollari in stablecoin sono stati scambiati con 27.553 ETH tramite UniswapX, un protocollo di scambio decentralizzato. La scelta è pratica. Gli emittenti di stablecoin possono congelare i saldi a livello di contratto se richiesto; l'ether non ha un emittente a cui chiedere. Lo scambio inoltre si è concluso in meno di quattro ore, secondo gli stessi resoconti, il che è più rapido di un'ordinanza del tribunale. Il resto è stato suddiviso tra indirizzi, spostato tra blockchain tramite bridge e fatto passare per servizi di scambio istantaneo indicati nei resoconti come WellWallet e Kyrrex, prima che una parte fosse convertita in Monero tramite un servizio chiamato Wagyu. Monero nasconde per impostazione predefinita mittente, destinatario e importo, quindi la traccia si interrompe di fatto a quel confine. È ormai lo stato finale abituale dei grandi furti di criptovalute, ed è per questo che le ore immediatamente successive a un furto contano più delle settimane seguenti. Come si presenta un congelamento nella pratica
Kraken ha dichiarato di aver limitato i conti collegati nella notte tra lunedì 2 e martedì 3 novembre e che i propri sistemi non sono stati compromessi. Crypto.com ha detto di aver bloccato i fondi associati, e OKX stava ancora indagando al momento dei resoconti. ZachXBT ha sostenuto che una segnalazione lenta a exchange e autorità ha permesso di riciclare oltre 30 milioni di dollari che altrimenti si sarebbero potuti intercettare in tempo. Un congelamento non è un recupero. È un blocco su un saldo mentre si discute la proprietà, e il rilascio dipende da un procedimento legale, dalle condizioni dell'exchange e dalla dimostrazione a quale richiedente appartengano le monete. La banca ha detto che l'incidente è ora chiuso e sotto controllo, il che descrive il proprio contenimento, non la sorte del denaro. Cosa il fascicolo non stabilisce
Non sono stati segnalati arresti. Né gli intrusi né il fornitore di servizi sono stati identificati pubblicamente, e la banca non ha fornito dettagli tecnici su come sia stata usata la piattaforma. L'attribuzione è aperta: ZachXBT ha detto di essere fortemente convinto che non si tratti del gruppo Lazarus, mentre un'altra linea di resoconti, esplicitamente non provata, indica reti francofone storicamente associate alle truffe al presidente. Numerama osserva che il metodo stesso resta sconosciuto. Il punto d'ingresso è la parte meno soddisfacente della vicenda. Un intruso dentro la piattaforma di un fornitore è una descrizione da catena di fornitura, e solleva la domanda che ogni funzione bancaria esternalizzata solleva: quali credenziali avesse il fornitore e se la banca potesse vedere che venivano usate. Arkéa dice di collaborare con le autorità giudiziarie. Alla luce delle prove pubblicate finora, i bonifici, le conversioni e i congelamenti sono documentati; l'intrusione no. Per uno sguardo correlato su come l'analisi delle transazioni venga messa alla prova in aula e non in un post di blog, si veda il nostro resoconto del processo a Bitcoin Fog.
