A fraude do Crédit Mutuel Arkéa começou na transferência e virou ether

Nesta quarta-feira, o Crédit Mutuel Arkéa reconheceu ter sofrido um ataque que permitiu a realização de operações fraudulentas. O dinheiro não saiu de uma carteira de criptomoedas. Saiu do banco em euros, por transferência, e só foi trocado por dólar digital depois de passar por contas abertas em corretoras de criptomoedas. O valor que circulou nesta quarta-feira, de US$ 133 milhões, ou cerca de €118 milhões, não foi confirmado pelo banco. Pelo registro público da rede Ethereum, é possível seguir US$ 108,8 milhões do que saiu.

O comunicado não traz valor. A nota diz que o incidente está controlado, que nenhum cliente terá prejuízo e que suspendeu parte das transações por precaução, com retomada prevista para quando as últimas verificações terminarem. Clientes relataram não conseguir concluir certas transferências pelos aplicativos do banco ao longo do dia. A instituição também informou o Banco da França.

O tamanho do caso está no banco que foi atingido. Em 2025, o Arkéa fechou o ano com €211,6 bilhões de balanço, 5,6 milhões de clientes e €450 milhões de lucro líquido. Controla o Crédit Mutuel da Bretanha e do Sudoeste e uma corretora online com mais de 1,6 milhão de clientes. Uma exchange não tem esse perfil. O Arkéa financia crédito imobiliário e guarda depósito de pessoa física.

A saída começou na conta corrente e levou 21 horas

A cadeia sustenta a hipótese de uma fraude montada fora do banco. Pessoas que acompanham a investigação descrevem criminosos que abriram contas em corretoras de criptomoedas com nomes falsos e receberam, nelas, transferências bancárias vindas do Arkéa. O dinheiro entrou como euro, no nome do titular da conta, e passou pela conferência de nome que as corretoras fazem em transferência. Depois virou dólar digital e saiu.

A parte visível dessa operação foi medida pela Bitquery, que segue cada transferência na rede Ethereum. Entre o domingo e a segunda-feira, US$ 108,8 milhões em USDC, um dólar digital, deixaram contas das corretoras Kraken, Crypto.com e OKX com destino a 15 carteiras. A Kraken pagou 178 saques e respondeu por 95% do total. Foram 21 horas de retiradas, quase todas concentradas na noite de domingo. Em três horas, dois terços do total já tinham saído.

Onze das 15 carteiras já tinham recebido saques das mesmas corretoras antes do episódio, duas delas desde maio. Oito concentraram algo perto de US$ 10 milhões cada, algumas com o saldo inteiro em uma tacada, centavos incluídos, sinal de conta esvaziada de uma vez. Outras receberam sequências de valores menores, sempre abaixo de um teto, o que sugere limites diferentes por conta. Uma carteira nova absorveu 43 saques da Kraken em 91 minutos, todos com valor inferior a US$ 50 mil.

O dinheiro também não ficou parado. Entre a chegada do USDC e o repasse adiante, a mediana foi de três minutos. A estrutura de recebimento foi montada com meses de antecedência, e o fim de semana serviu para executar o plano.

A conta que fecha é a dos US$ 108,8 milhões

O número de US$ 133 milhões é uma estimativa do investigador ZachXBT, que tornou o caso público na segunda-feira e apontou o Arkéa como vítima na noite de terça-feira. Ele começou com US$ 106 milhões em saques de corretora, somou US$ 27 milhões no dia seguinte e disse que o total pode ser maior quando entrarem negociações feitas fora das corretoras. O banco não confirmou nenhuma das duas cifras.

A diferença entre as duas contas importa. O US$ 108,8 milhões é o que se pode seguir na rede, com endereço, horário e valor. Já o resto da estimativa vem de negociações sem rastro público, e ninguém de fora consegue conferi-lo. A hipótese dele é que parte do dinheiro tenha passado por balcão, fora das corretoras.

Do que saiu das corretoras, a fatia maior virou ether logo nas primeiras horas. Entre a noite de domingo e a madrugada de segunda, uma carteira recém-criada vendeu US$ 62,98 milhões em dólares digitais e recebeu 27.553 ether em quatro horas, a uma média de US$ 2.286 por unidade. A troca tem um motivo prático. O USDC pode ser congelado pelo emissor. O ether, não.

Dali, o dinheiro se dividiu em várias frentes. US$ 22,26 milhões passaram pelo LI.FI, serviço que troca e move ativos entre redes, a maior rota individual. A KuCoin recebeu US$ 8,13 milhões em uma conta de entrada. A FixedFloat, corretora instantânea que não pede cadastro, recebeu US$ 3,89 milhões. Parte do dinheiro foi convertida em Monero, moeda que esconde remetente, destinatário e valor, e a partir daí não pode mais ser seguida.

O relógio decidiu quanto sobrou

No levantamento das 6h49 desta quarta-feira, US$ 42,59 milhões seguiam em endereços ligados ao desvio, a maior parte em ether. É menos da metade do que saiu. O que sobrou em dólar digital está quase todo em uma carteira e pode ser bloqueado pela emissora a qualquer momento.

A Tether bloqueou, na noite de segunda-feira, US$ 1,1 milhão que o desvio mantinha em USDT. A Circle, emissora do USDC, não congelou nada dos US$ 1,71 milhão que o desvio ainda mantinha em carteira na mesma medição. As duas empresas têm o mesmo poder de bloquear os próprios tokens e reagiram de formas diferentes.

Um endereço pode responder à pergunta que importa. Na terça-feira, 396 ether chegaram a uma carteira de depósito da Kraken. Desde dezembro ela só recebe, e cada saída terminou em endereços da própria corretora, o que indica uma conta antiga. A Kraken sabe de quem é. A corretora afirmou que o incidente não começou em sua plataforma e que restringiu contas ligadas ao caso. Diz ainda que investiga o uso de suas contas para mover o dinheiro e que nenhuma conta de cliente foi tomada. Já a Crypto.com informou ter bloqueado fundos ligados ao episódio.

O horário em que o banco falou também entra na conta. Na segunda-feira saiu o primeiro alerta público, e o Arkéa só se pronunciou na quarta. ZachXBT calcula que mais de US$ 30 milhões ainda poderiam ser bloqueados por autoridades europeias se o caso tivesse sido informado antes, porque cada hora a mais dá tempo para o dinheiro virar ether e passar para outras redes. Pessoas a par da apuração descrevem um banco que entendeu tarde o que estava acontecendo e ficou sem tempo de acionar corretoras e emissores. A regra europeia de resiliência digital exige que um banco comunique um incidente grave de tecnologia em até quatro horas depois de classificá-lo como grave.

O banco se preparava para vender criptomoedas

Em maio, o grupo protocolou pedido de licença dentro das regras europeias para criptoativos, a MiCA, para vender ativos digitais a clientes pessoa física e a outras instituições financeiras. A operação atingida fica no caixa do banco de varejo, no mesmo trilho de qualquer transferência, e é isso que separa o episódio de um roubo de carteira.

O que o caso expõe está fora da carteira de criptomoedas. A estrutura de segurança montada para custodiar ativos digitais não tem relação com o que falhou neste episódio. Já a conferência de nome na transferência, que as corretoras usam para validar depósito, funcionou como esperado. O nome era falso, e era o nome da conta. A entrada não disparou alarme.

Na terça-feira, cinco dias depois do roubo de US$ 6,3 bilhões da Binance, Changpeng Zhao argumentou que a situação de um banco seria pior se o critério fosse a segurança da informação. A frase ganhou um teste nesta semana. Desta vez, o dinheiro de um banco vazou sem que nenhuma chave privada fosse tocada.

A conta que falta é a do próprio banco. O Arkéa não informou o valor do desvio, não disse de qual subsidiária o dinheiro saiu e não detalhou o que reportou ao supervisor. Já o tamanho do caso segue medido pelo lado de fora, nas retiradas que a Kraken pagou e ainda pode atribuir, nas carteiras que continuam abertas ao congelamento e na conta de depósito que a corretora sabe de quem é.