La entidad bancaria cooperativa francesa ha confirmado el incidente y trabaja para recuperar los fondos. El caso se detectó primero en el ámbito de las criptomonedas gracias al investigador on-chain ZachXBT, que estimó pérdidas superiores a 133 millones de dólares (unos 118 millones de euros).
Crédit Mutuel Arkéa, grupo con sede en Bretaña que agrupa las federaciones de Crédit Mutuel de Bretagne y Crédit Mutuel du Sud-Ouest, además de filiales como el banco online Fortuneo, confirmó el 4 de noviembre de 2026 que había sufrido una ciberataque sofisticado de origen externo. Los atacantes accedieron a través de la plataforma de un prestador de servicios (no identificado) y utilizaron el propio cuenta del banco para realizar transferencias fraudulentas hacia otras entidades bancarias. Posteriormente, parte de esos fondos se habría convertido en criptomonedas en plataformas especializadas.
La entidad insiste en varios puntos clave:
- Los activos de los clientes no se han visto afectados. Ni las cuentas de las federaciones ni las de las filiales (incluido Fortuneo) fueron utilizadas ni comprometidas.
- El incidente está contenido y bajo control. Se suspendieron temporalmente algunas operaciones por precaución, lo que provocó retrasos en ciertos transferencias, pero las operaciones se reanudaron progresivamente.
- El banco ha validado el «orden de magnitud» de las estimaciones externas (en torno a decenas de millones de euros), aunque no confirma la cifra exacta de 118 millones de euros / 133 millones de dólares. Según Reuters y AFP, la entidad ha hablado de alrededor de 100 millones de euros (unos 112-113 millones de dólares) como estimación provisional.
- Una parte de los fondos ha podido ser bloqueada y se están tomando medidas para recuperar el resto. Las cantidades involucradas no ponen en riesgo la solidez financiera del grupo.
Arkéa cuenta con aproximadamente 5,8 millones de clientes y sociétaires y un balance de unos 211.500 millones de euros.
El papel de ZachXBT y el rastreo en blockchain
El investigador ZachXBT alertó primero el 2 de noviembre de retiros sospechosos de más de 106 millones de dólares en stablecoins (USDC y USDT) desde cuentas de exchanges centralizados de una entidad europea no identificada. Posteriormente elevó la estimación por encima de 133 millones de dólares tras detectar retiros adicionales (unos 27 millones) y nombró a Crédit Mutuel Arkéa como la víctima. Según él, el ataque se prolongó durante varios días y la cifra real podría ser mayor si se incluyen operaciones OTC (over-the-counter).
Firmas de análisis on-chain como Bitquery rastrearon alrededor de 108,8 millones de dólares en USDC saliendo en poco más de 21 horas (1 y 2 de noviembre) de cuentas en Kraken, Crypto.com y OKX hacia 15 carteras. Parte de esos fondos se convirtió en ether y se movió hacia monedas más difíciles de rastrear como Monero. ZachXBT ha indicado que no cree que esté detrás el grupo norcoreano Lazarus.
