Una banca francese è stata derubata in euro. Il furto, però, si vede in dollari digitali.
Il 4 novembre Crédit Mutuel Arkéa ha confermato un attacco informatico: gli aggressori sono entrati dalla piattaforma di un fornitore esterno e hanno usato il conto della banca stessa per inviare bonifici verso altre banche. Secondo l'istituto, quei trasferimenti potrebbero aver permesso di convertire il denaro in cripto-attività attraverso piattaforme specializzate. La stima provvisoria è nell'ordine dei 100 milioni di euro, una parte è stata bloccata e i clienti, compresi quelli di Fortuneo, non sono stati colpiti. È qui che l'attacco a Crédit Mutuel Arkéa e la pista crypto si incrociano: Bitquery ha identificato 126,04 milioni di dollari in USDC usciti da Kraken, Crypto.com e OKX verso 17 wallet, ma il legame completo con la perdita della banca non è stato dimostrato pubblicamente.
Abbiamo letto il comunicato della banca, il dispaccio AFP ripreso da Boursorama, l'indagine di Bitquery, Ledger Insights, Cryptoast e le dichiarazioni degli exchange. Reuters non si è aperto con i nostri strumenti, e il post del giornalista Grégory Raymond su X lo citiamo attraverso Bitquery.
Il furto non è avvenuto sulla blockchain
Il primo paradosso è che nessuna chiave privata è stata rubata. Secondo la banca, gli aggressori hanno raggiunto Arkéa attraverso la piattaforma di un fornitore di cui non ha fatto il nome. Hanno usato il conto aziendale dell'istituto, non quelli dei clienti delle federazioni o delle controllate. La banca esclude l'errore umano e parla di un attacco sofisticato venuto dall'esterno, ora contenuto. Nessun ingresso, precisa, è passato da Fortuneo.
Secondo AFP, mercoledì 4 novembre Arkéa ha presentato denuncia alla sezione cybercriminalità della procura di Parigi. La procura ha aperto un'inchiesta per accesso a un sistema informatico in banda organizzata e l'ha affidata all'ufficio anticybercriminalità della polizia. La banca assicura che le somme non mettono in discussione la sua solidità: nel primo semestre, ricorda AFP, ha registrato 230 milioni di utile netto.
La traccia porta a conti aperti su exchange regolati
Il secondo paradosso riguarda la strada scelta. Secondo Grégory Raymond, citato da Bitquery, i bonifici sono arrivati su conti di exchange aperti con nomi falsi. Ledger Insights ha ricostruito i prelievi di USDC del 1° e 2 novembre: 102 milioni da conti su Kraken, 5,4 su Crypto.com e circa 660.000 dollari su OKX. Spesso c'era un pagamento di prova da 1.000 dollari prima del saldo, tra 5 e 10 milioni per volta. Bitquery arriva a 126,04 milioni verso 17 wallet, con Kraken che pesa per circa il 95%; senza i quattro wallet collegati in modo indiretto il totale scende a 95,71 milioni.
Kraken, secondo Ledger Insights, afferma che l'incidente non è partito dalla sua piattaforma, che ha limitato i conti coinvolti, che collabora con le forze dell'ordine e che nessun conto di clienti è stato violato. Crypto.com e OKX, secondo AMBCrypto, hanno detto di bloccare i fondi collegati e di verificare il caso. Kraken opera nell'Unione con una licenza MiCA rilasciata dalla Banca centrale d'Irlanda nel 2025, secondo The Block. Le regole europee sui fornitori di servizi in cripto-attività sono al centro anche del nostro approfondimento sulle truffe che imitano exchange e autorità.
I fondi corrono più veloci dei comunicati
Secondo Bitquery, il primo prelievo è partito da OKX alle 12:25 UTC di domenica 1° novembre, e nelle sole tre ore fino alle 23:00 ne sono usciti circa 73,2 milioni. In circa quattro ore 62,98 milioni di stablecoin sono diventati 27.553 ETH tramite UniswapX. Poi i fondi si sono divisi. Circa 36,09 milioni sono andati verso LI.FI, compreso un servizio che converte in Monero, la cui traccia sulla blockchain non è visibile. Altri 8,14 milioni sono finiti su un indirizzo di deposito collegato da TRM a Kyrrex. Alle 08:47 UTC del 5 novembre restavano tracciabili circa 37,26 milioni, il 30% del totale.
La banca ha parlato il 4 novembre, tre giorni dopo i primi prelievi tracciati da Bitquery. ZachXBT, l'investigatore che aveva segnalato il caso il 2 novembre senza nominare la vittima, sostiene che il silenzio iniziale abbia permesso di riciclare oltre 30 milioni. Secondo Cryptoast, valuta anche «con un alto grado di fiducia» che gli autori non siano legati a Lazarus. Sono sue valutazioni, non conclusioni delle autorità.
Chi blocca e chi no
Nelle prime ore il freno è arrivato soprattutto dagli exchange, che hanno limitato i conti. Sulla blockchain i blocchi sono stati pochi: Tether ha congelato circa 1,14 milioni di USDT il 2 novembre, mentre al 5 novembre Circle non aveva bloccato nessuno degli 1,71 milioni di USDC ancora nei wallet tracciati, secondo Bitquery. La differenza tra emittenti è uno dei temi del nostro confronto tra USDT e USDC, e il potere di congelamento di Tether è parte della sottile linea tra stabilità e preoccupazioni che accompagna l'emittente.
Le cifre non tornano, ancora
Il terzo paradosso è che la vittima dichiara meno di quanto contano gli altri. La banca parla di circa 100 milioni di euro, circa 113 milioni di dollari al cambio usato da AFP secondo Bitquery. Le Télégramme ha scritto 133 milioni di dollari, 118 milioni di euro, e Arkéa ne ha accettato l'ordine di grandezza senza confermare il numero. ZachXBT era partito da 106 milioni e li ha alzati a oltre 133. Bitquery ammette di non saper ancora spiegare la distanza tra queste stime.
Cosa resta da dimostrare
Molto. Il legame completo tra i bonifici partiti dalla banca e i flussi on-chain non è stato dimostrato pubblicamente: Bitquery non attribuisce i 17 wallet a nessuno e basa il collegamento su resoconti di stampa e sul comportamento dei wallet. Non sono noti il nome del fornitore esterno, la data esatta dell'intrusione, il modo in cui sono stati aperti i conti sugli exchange né l'importo bloccato e dove.
Gaurav Agarwal
Il caso Arkéa in sintesi
Cosa è confermato, cosa no
- Confermato: attacco tramite la piattaforma di un fornitore esterno, bonifici dal conto della banca, stima provvisoria nell'ordine dei 100 milioni di euro, clienti non colpiti, denuncia e inchiesta a Parigi.
- Non indicato: nome del fornitore, data dell'intrusione, importo definitivo e bloccato, prova pubblica del legame con i 126,04 milioni di USDC tracciati da Bitquery.
- Da seguire: l'inchiesta della procura di Parigi, il recupero dei fondi, le verifiche sui conti aperti con nomi falsi, eventuali blocchi di Circle.
La lettura più grande
È una nostra lettura che questo caso rovesci il racconto abituale. Non è la blockchain ad aver ceduto, ma la catena dei fornitori di una banca tradizionale, e le cripto-attività sono arrivate dopo, come via di uscita veloce. La dipendenza da fornitori esterni è un tema che la finanza europea conosce già, come mostra il caso della finanza UE che dipende da IA straniere, e qui ha avuto un costo misurabile.
Il secondo punto riguarda chi può fermare il denaro. Le banche sperimentano da tempo la blockchain, come le britanniche con i depositi tokenizzati interbancari, ma quando i fondi escono dal sistema bancario il freno passa a exchange ed emittenti. Circle, che intanto porta USDC in 40 mercati emergenti, al 5 novembre non aveva bloccato nulla. Da seguire: l'inchiesta, le verifiche sull'identità dei titolari dei conti e la quota di fondi che tornerà indietro.
