O Crédit Mutuel Arkéa confirmou ter sofrido um ciberataque que resultou em transações fraudulentas. Em comunicado, o grupo bancário francês afirmou que o incidente está contido e que as operações foram retomadas de forma gradual, sem informar o volume financeiro envolvido.
O banco não divulgou o ponto de entrada do ataque, a falha explorada nem se houve uso de credenciais roubadas. Nenhum responsável foi apontado pela instituição ou pelas autoridades notificadas, e reportagens sobre o episódio citam o grupo BREEZE COMET apenas como contexto, sem evidência que o ligue ao ataque.
A estimativa de perda que circula vem do investigador de blockchain ZachXBT, que de início descreveu a vítima apenas como uma instituição europeia não identificada. Segundo ele, mais de US$ 106 milhões saíram em 1º de novembro e outros US$ 27 milhões elevaram a conta para além de US$ 133 milhões. O investigador classifica os números como estimativas de investigação, não como perdas verificadas pelo banco.
O caminho descrito para o dinheiro passa por corretoras de criptomoedas. Os valores teriam saído em USDC e USDT, sido convertidos em Ethereum, movidos entre blockchains diferentes e por fim trocados por Monero, moeda cujo desenho dificulta o rastreamento. ZachXBT afirmou que o total pode crescer caso existam negociações de balcão fora do que já foi mapeado.
A distância entre o que o banco confirma e o que a investigação aberta estima é o ponto central do caso. O comunicado reconhece transações fraudulentas sem apresentar cifra, enquanto o rastreamento em blockchain aponta um valor de nove dígitos sem confirmação oficial.
Entre as medidas que o banco declarou ter tomado estão a suspensão temporária de determinadas transações, a verificação dos sistemas, o reforço dos controles de segurança e a notificação às autoridades regulatórias e de supervisão. O grupo afirmou que os ativos dos clientes não foram atingidos, que alguns tiveram atraso em transferências e que os valores afetados ainda eram avaliados, sem ameaçar sua solidez financeira. Reportagens públicas ligam a fraude à Fortuneo, o banco digital do grupo, vínculo que a instituição não confirmou.
A orientação divulgada pelo banco aos clientes é desconfiar de qualquer contato que peça dados, porque episódios assim costumam ser acompanhados de tentativas de phishing apoiadas no noticiário. O grupo pediu que ninguém compartilhe senhas, dados de cartão ou códigos recebidos por SMS, seja qual for o canal. Para o setor financeiro, o caso ilustra um cenário em que o primeiro sinal público não veio de um sistema interno e sim do rastreamento em blockchain, que apontou as saídas antes de qualquer cifra oficial.
