O roubo ao Crédit Mutuel Arkéa: como 133 milhões de dólares saíram por um prestador de serviços e viraram stablecoins e Monero
O Crédit Mutuel Arkéa, grupo bancário cooperativo francês com 5,8 milhões de membros e 211,5 mil milhões de euros em ativos, confirmou que um intruso chegou aos seus sistemas através da plataforma de um prestador de serviços e usou a própria conta corporativa do banco para enviar cerca de 118 milhões de euros, aproximadamente 133 milhões de dólares, para contas noutros bancos. O banco revelou o incidente a 4 de novembro de 2026 e recusa-se a confirmar o montante.
O que o banco confirmou e o que não confirmou
Em declarações citadas por órgãos de comunicação franceses e pelo BleepingComputer, o Arkéa descreveu um ataque sofisticado e afirmou que o intruso entrou diretamente pela plataforma de um prestador de serviços. O banco excluiu explicitamente o Fortuneo, o seu próprio banco online, como ponto de entrada, e afastou o erro humano por parte dos funcionários. Disse que as transferências partiram da conta do próprio Arkéa e não de contas de clientes, e que os ativos dos clientes não foram afetados. Algumas transferências atrasaram-se enquanto o banco suspendeu certas operações por precaução. O que não fez foi confirmar o número. Questionado sobre a estimativa de 133 milhões de dólares, disse ao BleepingComputer que não confirmava essa informação e que só podia validar a ordem de grandeza. Vale a pena ter essa cautela em conta: o montante é uma reconstrução de um investigador a partir de dados on-chain, não um número validado pela vítima. «Não confirmamos esta informação e só podemos validar a ordem de grandeza.» Crédit Mutuel Arkéa, citado pelo BleepingComputer
Como uma transferência bancária se torna uma stablecoin
A mecânica relatada até agora é pouco glamorosa. Segundo o trabalho de Grégory Raymond e outros, resumido pelo ZATAZ, as transferências fraudulentas decorreram ao longo de vários dias em vez de um único golpe, e os nomes dos beneficiários impressos nas transferências foram escolhidos para coincidir com os nomes das contas de destino. A partir daí, o dinheiro foi levantado em USDC e USDT, as duas maiores stablecoins denominadas em dólares, para contas em corretoras centralizadas. O IT for Business, citando a empresa de dados blockchain Bitquery, relata que 108,8 milhões de dólares em USDC saíram de contas na Kraken, na Crypto.com e na OKX ao longo de cerca de 20 horas, a 1 e 2 de novembro, dispersos por 15 carteiras distintas. Porque é que a conta na corretora é o estrangulamento
Esta é a parte da história que merece atenção. Uma transferência bancária pode ser chamada de volta, contestada e revertida ao longo da cadeia de correspondentes; uma transferência de stablecoins não. Mas uma stablecoin guardada numa corretora regulada também não é anónima, e é por isso que as contas em si eram, ao que se relata, o problema que os fraudadores tiveram de resolver primeiro. Os relatos descrevem-nas como abertas antecipadamente com identidades falsificadas suficientemente credíveis para passar as verificações de conhecimento do cliente, com os nomes dos beneficiários das transferências ajustados aos nomes dos titulares para que o banco emissor as aceitasse. O IT for Business acrescenta que as contas parecem ter sido abertas diretamente com identidades falsas e não tomadas a clientes reais, e que onze das 15 carteiras de destino já tinham recebido fundos das mesmas corretoras, em alguns casos meses antes. Se isso se confirmar, descreve preparação e não improvisação: contas em corretoras e infraestrutura de carteiras prontas antes de a primeira transferência sair do banco. Vinte e sete mil ether, depois Monero
Na noite de 1 para 2 de novembro, cerca de 63 milhões de dólares em stablecoins foram trocados por 27.553 ETH através da UniswapX, um protocolo de troca descentralizado. A escolha é prática. Os emitentes de stablecoins podem congelar saldos ao nível do contrato quando solicitados; o ether não tem emitente a quem pedir. A troca ficou concluída em menos de quatro horas, segundo os mesmos relatos, o que é mais rápido do que uma ordem judicial. O resto foi dividido por endereços, movido entre cadeias através de pontes e passado por serviços de troca instantânea identificados nos relatos como WellWallet e Kyrrex, antes de uma parte ser convertida em Monero através de um serviço chamado Wagyu. O Monero oculta por predefinição remetente, destinatário e montante, pelo que o rasto termina efetivamente nessa fronteira. É hoje o estado final habitual dos grandes roubos de criptomoedas, e é por isso que as horas imediatamente a seguir a um roubo contam mais do que as semanas seguintes. Como é um congelamento na prática
A Kraken afirmou ter restringido as contas ligadas na noite de segunda-feira 2 para terça-feira 3 de novembro e que os seus próprios sistemas não foram comprometidos. A Crypto.com disse ter bloqueado os fundos associados, e a OKX ainda estava a investigar à data dos relatos. O ZachXBT argumentou que a notificação tardia das corretoras e das autoridades permitiu branquear mais de 30 milhões de dólares que de outra forma poderiam ter sido intercetados a tempo. Um congelamento não é uma recuperação. É uma retenção sobre um saldo enquanto se discute a propriedade, e a libertação depende de processo legal, dos termos da própria corretora e da demonstração de a que reclamante pertencem as moedas. O banco disse que o incidente está agora encerrado e sob controlo, o que descreve a sua própria contenção, não o destino do dinheiro. O que o processo não estabelece
Não foram relatadas detenções. Nem os intrusos nem o prestador de serviços foram publicamente identificados, e o banco não deu qualquer detalhe técnico sobre como a plataforma foi usada. A atribuição está em aberto: o ZachXBT afirmou estar muito confiante de que não foi o grupo Lazarus, enquanto outra linha de relatos, explicitamente não provada, aponta para redes francófonas historicamente associadas a esquemas de fraude ao presidente. O Numerama assinala que o próprio método continua desconhecido. O ponto de entrada é a parte menos satisfatória da história. Um intruso dentro da plataforma de um prestador é uma descrição de cadeia de abastecimento, e levanta a questão que toda a função bancária externalizada levanta: que credenciais detinha o prestador e se o banco conseguia ver que estavam a ser usadas. O Arkéa diz estar a cooperar com as autoridades judiciais. Pelas provas publicadas até agora, as transferências, as conversões e os congelamentos estão documentados; a intrusão não. Para uma perspetiva relacionada sobre como a análise de transações é testada num tribunal e não num artigo de blogue, veja o nosso relato do julgamento do Bitcoin Fog.
