Banco Crédit Mutuel Arkéa sufre ciberataque con US$133M

Crédit Mutuel Arkéa: qué confirmó el banco sobre el ciberataque

El 4 de noviembre de 2026, el grupo bancario francés Crédit Mutuel Arkéa confirmó que fue objeto de un ciberataque que permitió ejecutar transacciones fraudulentas. La entidad atiende a más de 5,8 millones de socios y clientes y reporta 211.500 millones de euros en activos, según cifras recogidas por DiarioBitcoin, lo que la convierte en un actor relevante del sistema financiero francés, aunque bastante más pequeño que BNP Paribas o Société Générale.

El banco notificó a las autoridades de supervisión y suspendió temporalmente algunas transferencias como medida de precaución. No reveló cómo accedieron los atacantes, qué sistemas quedaron comprometidos ni cuánto dinero se perdió. Solo indicó que las cantidades afectadas no son de una naturaleza que pueda cuestionar la solidez y la salud financiera del grupo.

La cifra: US$133M según ZachXBT, sin confirmar por el banco

El caso salió a la luz el 2 de noviembre, cuando el investigador de blockchain ZachXBT alertó sobre movimientos sospechosos de una entidad europea sin identificar. Primero habló de retiros por más de US$106 millones desde cuentas en exchanges centralizados; al día siguiente sumó otros US$27 millones y elevó la estimación por encima de US$133 millones, unos 118 millones de euros, según Decrypt.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El banco no validó esa cifra. De acuerdo con la información recogida por Reuters, Arkéa sostiene que sus pérdidas serían inferiores y todavía no ha comunicado un número definitivo. ZachXBT advirtió además que el total podría crecer cuando se contabilicen operaciones extrabursátiles (OTC), que no siempre quedan reflejadas en la actividad on-chain.

Sobre la autoría, el investigador afirmó tener un alto grado de confianza en que el atacante no está vinculado al Grupo Lazarus de Corea del Norte, según Decrypt. Ninguna agencia de aplicación de la ley ha identificado públicamente a los responsables.

Cómo se movió el dinero: de transferencias bancarias a criptomonedas

La particularidad de este caso es que parte del rastro es visible. La firma de análisis Bitquery rastreó cerca de US$108,8 millones en USDC distribuidos entre 15 direcciones durante unas 21 horas, con 178 retiros vinculados a Kraken, Crypto.com y OKX, según news.bitcoin.com. La propia firma reconoció que no pudo identificar al titular de las cuentas ni verificar el importe total.

Los fondos se retiraron en USDC, una stablecoin diseñada para mantener paridad con el dólar, y buena parte se convirtió en ether, un activo que ningún emisor puede bloquear directamente. Bitquery detectó que unos US$62,98 millones en stablecoins se cambiaron por 27.553 ETH en aproximadamente cuatro horas, con transacciones que incluyeron UniswapX. Después, parte del dinero pasó por servicios de intercambio instantáneo y por Monero (XMR), una moneda de privacidad que dificulta el seguimiento público.

Hubo también intentos de contención: Tether congeló aproximadamente US$1,14 millones en USDT y Crypto.com confirmó a CoinDesk que impidió nuevos movimientos de fondos relacionados con el incidente. ZachXBT criticó la demora en la divulgación y sostuvo que más de US$30 millones pudieron salir de las rutas de recuperación sencillas antes de que exchanges, emisores o autoridades intervinieran.

Sobre el origen hay versiones que no coinciden. El banco explicó que los atacantes accedieron a través de la plataforma de uno de sus proveedores y no por Fortuneo, su banco digital. En cambio, el periodista francés Grégory Raymond reportó que el robo se habría originado a través de Fortuneo, con transferencias no autorizadas hacia cuentas de exchange abiertas con identidades falsas. Esa versión no está confirmada por la entidad.

¿Están a salvo los fondos de los clientes?

Arkéa sostiene que sí: los atacantes usaron una cuenta del propio grupo y no las de sus clientes, por lo que los fondos de los depositantes permanecen protegidos. Las consecuencias operativas reconocidas se limitaron a retrasos en algunas transferencias, y el banco aseguró que prácticamente todas las operaciones habían recuperado su funcionamiento durante la mañana del 4 de noviembre.

La entidad también advirtió sobre posibles intentos de phishing y pidió a los clientes no compartir contraseñas, datos de tarjetas ni códigos de verificación. Es una recomendación preventiva: el banco no confirmó que ya haya ocurrido una campaña de ese tipo.

DORA: por qué el riesgo de proveedores externos es el punto clave

El detalle más relevante para cualquier empresa que dependa de terceros es el vector del ataque. Según la versión del banco, el acceso no vino por su propio sistema, sino por la plataforma de un proveedor. Ese es exactamente el escenario que la Unión Europea quiso cubrir con DORA, el reglamento de resiliencia operativa digital que aplica desde enero de 2025 y que obliga a las entidades financieras a gestionar el riesgo tecnológico, incluido el que proviene de sus proveedores externos.

El contexto tampoco ayuda. En la misma semana, varios supermercados de Bélgica, Suecia e Irlanda vieron alterados sus sistemas de refrigeración y tuvieron que retirar alimentos de la venta. Son incidentes sin relación demostrada, pero muestran hasta qué punto la operación diaria depende de la tecnología.

El sector cripto tampoco es ajeno: Mercado Bitcoin, el exchange brasileño, reveló el 2 de noviembre de 2026 un incidente de seguridad por aproximadamente US$38 millones, según news.bitcoin.com. Y Decrypt situó este caso días después del hackeo de Binance por US$6.300 millones, el mayor robo cripto registrado, que el FBI atribuyó a hackers norcoreanos. Para una startup que opera con activos digitales, el patrón se repite: la ventana para congelar fondos se mide en horas, no en días.

Qué significa esto para tu startup

Tres lecciones concretas que puedes aplicar esta semana:

Tu proveedor es tu superficie de ataque. Si el acceso entró por un tercero, tu perímetro de seguridad no termina en tu propia infraestructura. Mapea qué proveedores tienen acceso a tus sistemas de pago o de autorización de operaciones y pide evidencia de controles, no promesas comerciales.
La velocidad de reacción define cuánto recuperas. Aquí la diferencia entre congelar y no congelar se midió en horas. Define hoy un protocolo de escalado con contactos directos de tus proveedores críticos, tu equipo legal y, si manejas cripto, los emisores de stablecoins relevantes.
Prepara la comunicación antes del incidente. Arkéa tardó en dar cifras y recibió críticas por la divulgación. Un mensaje claro a clientes —qué pasó, qué no está afectado, qué hacer— reduce el riesgo de phishing posterior y protege la confianza.

Un cuarto punto, más de fondo: si tu producto financiero está en camino de operar bajo licencias europeas, como el caso de Arkéa, que según Decrypt había solicitado una licencia bajo MiCA para ofrecer servicios cripto a clientes minoristas, el cumplimiento normativo y la seguridad dejan de ser dos proyectos separados. Se auditan juntos.

Conclusión

El caso de Crédit Mutuel Arkéa deja una cifra sin confirmar —los US$133 millones que estima ZachXBT frente a la evaluación todavía abierta del banco—, un rastro de dinero que se pierde entre stablecoins, ether y Monero, y una lección que aplica a cualquier empresa: el riesgo no está solo en tu código, está en la cadena de proveedores que autorizan operaciones en tu nombre. Para un founder, la pregunta útil no es si eres hackeable, sino cuánto tardas en detectarlo, contenerlo y contarlo.