Fecha: 7 de noviembre de 2026
Crédit Mutuel Arkéa, banco cooperativo francés con más de 5,8 millones de socios y 211.500 millones de euros en activos, ha sufrido uno de los robos bancarios más grandes de 2026. El banco confirmó el 4 de noviembre un ciberataque que permitió transacciones fraudulentas que el investigador ZachXBT estima en hasta 118 millones de euros, unos 133 millones de dólares. Arkéa no confirma la cifra exacta, pero sí ha validado su orden de magnitud. El atacante entró por la plataforma de un proveedor de servicios y usó la propia cuenta del banco para mover el dinero.
Cronología del robo
Las retiradas no autorizadas se produjeron el 1 de noviembre desde varias cuentas en exchanges centralizados de criptomonedas. El 2 de noviembre, ZachXBT alertó de las retiradas sospechosas sin nombrar todavía a la entidad: su primera estimación superaba los 106 millones de dólares y más tarde la elevó por encima de los 133 millones. Para el 3 de noviembre ya se habrían blanqueado unos 30 millones. El 4 de noviembre Arkéa reconoció el incidente, aseguró que estaba «cerrado y bajo control» y que los activos de los clientes no se habían visto afectados.
La puerta de entrada: un proveedor de servicios
El atacante llegó a su red a través de la plataforma de un proveedor de servicios, según el banco. Arkéa descartó que la entrada fuera Fortuneo, su filial de banca online, y también un error humano interno: lo describió como un «ataque sofisticado».
Una vez dentro, el atacante no tocó las cuentas de los clientes: usó la propia cuenta de Crédit Mutuel Arkéa para iniciar transacciones con otras entidades bancarias y convertir después los fondos en criptomonedas. Es el patrón clásico de un ataque a la cadena de suministro: el objetivo no es el eslabón más fuerte, sino el tercero con acceso privilegiado y, a menudo, con menos controles. El banco colabora con las autoridades judiciales y la policía; a día de hoy no se ha identificado públicamente al grupo responsable.
El rastro del dinero en la blockchain
Según el análisis de Bitquery, entre el 1 y el 2 de noviembre salieron 108,8 millones de dólares en USDC desde cuentas en Kraken, Crypto.com y OKX hacia 15 monederos. En unas cuatro horas, 62,98 millones de dólares en stablecoins se convirtieron en 27.553 ETH a través de UniswapX. El resto pasó por DAI antes de convertirse en Monero (XMR), diseñada para dificultar el rastreo.
Congelar los fondos fue una carrera contra el reloj: Tether congeló 1,14 millones de dólares en USDT el 2 de noviembre, mientras que Circle no había congelado los 2,53 millones restantes en USDC en el momento del análisis. Aun así, a las 13:27 UTC del 3 de noviembre quedaban todavía 61 millones de dólares en Ethereum en direcciones vinculadas al atacante.
La lección es clara: las stablecoins centralizadas pueden congelarse, pero solo si alguien avisa a tiempo y el emisor actúa rápido. Una vez convertidas a ETH y después a Monero, la trazabilidad se pierde casi por completo.
Qué sigue sin saberse
Preguntado por si se robaron 118 millones de euros, el banco respondió: «No confirmamos esta información y solo podemos validar el orden de magnitud». El importe exacto robado, recuperado o perdido sigue sin conocerse, como tampoco qué proveedor fue la puerta de entrada ni cuánto tiempo tuvo el atacante acceso antes del 1 de noviembre.
El banco advirtió además de un aumento del riesgo de phishing y pidió verificar cualquier mensaje sospechoso llamando directamente a su asesor.
Qué hacer
Clientes de un banco: no hagas clic en enlaces ni compartas datos sensibles por teléfono o correo tras un incidente como este: los estafadores aprovechan la confusión para suplantar al banco. Verifica cualquier mensaje llamando a tu asesor por el número oficial y activa las alertas de operaciones. Un banco nunca te pedirá contraseñas ni códigos por teléfono o correo.
Equipos de seguridad y gestión de proveedores: revisa qué proveedores tienen acceso a tus sistemas o cuentas con capacidad de iniciar transacciones, y qué controles existen sobre ese acceso: autenticación multifactor, privilegios mínimos y segmentación de red. Exige evidencia de sus controles y cláusulas de notificación de incidentes con plazos concretos. Prepara además un plan de respuesta con el contacto directo de emisores de stablecoins y exchanges: aquí, la diferencia entre congelar o perder millones se midió en horas.
La mirada del analista Blue Team: qué vigilaría un SOC
- Anomalías en transacciones de alto valor: retiradas masivas a exchanges de criptomonedas desde cuentas corporativas, fuera de los patrones habituales de volumen, horario y destino. Una regla basada en el perfil habitual de cada cuenta habría saltado en la primera hora.
- Acceso de terceros fuera de lo normal: sesiones desde la plataforma de un proveedor en horarios inusuales o desde ubicaciones nuevas. Cada proveedor debería tener su propia línea base de comportamiento.
- Conversión rápida a cripto: la secuencia transferencia bancaria → exchange → stablecoin → ETH → Monero es un patrón de exfiltración financiera reconocible. Un SOC con visibilidad sobre las salidas a exchanges puede detectarlo antes de que el dinero desaparezca.
El robo a Arkéa demuestra que el eslabón débil ya no es el perímetro del banco, sino su red de proveedores. Proteger la cadena de suministro no es un ejercicio de cumplimiento: es la diferencia entre un incidente contenido y un robo de nueve cifras.
Fuentes
- BleepingComputer — «Hackers pull off $133 million French bank heist via service provider»: https://www.bleepingcomputer.com/news/security/hackers-pull-off-133-million-french-bank-heist-via-service-provider/
- Undercode News — «Crédit Mutuel Arkéa Suffers 33 Million Cyberattack as Hackers Exploit Banking Infrastructure to Steal Funds»: https://undercodenews.com/credit-mutuel-arkea-suffers-33-million-cyberattack-as-hackers-exploit-banking-infrastructure-to-steal-funds/
- CoinPaprika — «French Bank Arkéa Confirms Cyberattack Behind Suspected $133M Crypto Theft»: https://coinpaprika.com/news/french-bank-arkea-confirms-cyberattack
- 247 News Bulletins — «Crédit Mutuel Arkéa: Hack confirmed, $133 million according to ZachXBT»: https://247newsbulletins.com/market/credit-mutuel-arkea-hack-confirmed-133-million-according-to-zachxbt/
- CoinScreamer — «Arkéa Confirms Cyberattack After $133M Theft Reports»: https://coinscreamer.com/zachxbt-credit-mutuel-arkea-133-million-suspected-crypto-theft/
- Hendry Adrian — «French Bank Reports Service-Provider Attack; $133M Loss Estimate Unconfirmed»: https://cyber.hendryadrian.com/article/17043/french-bank-reports-service-provider-attack-133m-loss-estimate-unconfirmed