Qué pasó
- El banco cooperativo francés Crédit Mutuel Arkéa fue blanco de un ciberataque que permitió transacciones fraudulentas por hasta US$ 133 millones y lo obligó a suspender ciertos sistemas.
- El banco afirma que el atacante usó su propia cuenta para iniciar transferencias a otras entidades bancarias, y que los activos de sus socios no se vieron afectados.
- Las primeras señales aparecieron el 2 de noviembre de 2026, cuando el investigador de fraudes ZachXBT advirtió de un retiro no autorizado masivo en varias cuentas de exchanges el día anterior.
- Según ese investigador, el atacante pudo robar hasta 118 millones de euros y retirarlos como stablecoins USDC y USDT.
- El banco informó del incidente el 4 de noviembre y aseguró que “está cerrado y bajo control”, con operación que vuelve a la normalidad de forma gradual.
Por qué importa
El caso muestra cómo un ataque a la infraestructura financiera termina en criptomonedas. Una vez convertido el dinero en stablecoins y movido entre exchanges, recuperarlo exige que alguien congele los fondos rápido. ZachXBT señaló que la falta de aviso público permitió lavar unos US$ 30 millones hasta el 3 de noviembre, dinero que la policía europea habría podido congelar.
También importa el vector: el título de BleepingComputer habla de un asalto “a través de un proveedor de servicios”, el eslabón que muchas entidades comparten con otras.
El dato
US$ 133 millones. Es el máximo de transacciones fraudulentas, equivalente a 118 millones de euros, en un banco con más de 5,8 millones de socios y 211.500 millones de euros en activos.
Contexto
El texto leído no entrega detalles técnicos del ataque ni nombra al proveedor, así que la cadena exacta de eventos sigue sin confirmarse públicamente. Tampoco se sabe si el banco recuperó fondos. El comunicado de Arkéa dice que el incidente es “cerrado” y que no afectó a los fondos de sus socios, una afirmación que no se pudo contrastar de forma independiente.
La seguridad de terceros y de la infraestructura aparece en muchos casos recientes. Chainalysis admitió que una brecha expuso credenciales de sus usuarios, Corea reportó ciberataques a financieras, QNAP confirmó ataques a sus NAS y OpenSSH tiene una falla que abre cuentas sin clave.
Qué viene
- Falta que el banco o las autoridades francesas identifiquen al proveedor y a los responsables.
- La investigación debería aclarar por qué la divulgación pública tardó dos días en llegar.
- Los exchanges implicados podrían congelar fondos si reciben alertas a tiempo.
Cierre
Cuando el dinero se mueve en minutos, el aviso temprano es parte de la defensa. Dos días de silencio bastaron para que parte del botín saliera del alcance de la policía.
Fuentes
- BleepingComputer, “Hackers pull off $133 million French bank heist via service provider”, 7 de noviembre de 2026; primeras alertas del investigador ZachXBT y comunicado de Crédit Mutuel Arkéa citados por el medio. No se leyó la página del banco.
- Imagen de portada: Baidax, CC BY-SA 4.0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
