O Crédit Mutuel Arkéa, grupo bancário francês com 5,6 milhões de clientes e mais de US$ 250 bilhões sob gestão, confirmou nesta quarta-feira (4) uma invasão cibernética que abriu caminho para transações fraudulentas. O caso veio à tona depois que o pesquisador de blockchain ZachXBT ligou a instituição a um desvio de mais de US$ 133 milhões em criptomoedas. O banco afirma que a situação está sob controle, mas não divulgou o tamanho do rombo.
O que a instituição confirmou
Em comunicado, o Arkéa assegurou que os correntistas não sofrerão consequência financeira e que seus interesses seguem preservados. A direção informou ter interrompido temporariamente parte das operações como medida de contenção e acionado as autoridades responsáveis. A extensão completa do ataque continua em avaliação.
O rastro que colocou nome no caso
Foi ZachXBT quem tirou o episódio do anonimato. O pesquisador — especializado em seguir o caminho de crimes com ativos digitais em redes públicas — havia alertado na segunda-feira (2 de novembro) que uma instituição financeira da União Europeia, ainda sem identificação, perdera mais de US$ 106 milhões após saques feitos em diferentes corretoras. Na noite de terça (3), apontou o Arkéa como o provável alvo.
Retiradas suspeitas adicionais, da ordem de US$ 27 milhões, entraram na conta no intervalo, empurrando a estimativa para o patamar acima de US$ 133 milhões. Parte dessas movimentações ocorreu depois que o caso já havia ganhado divulgação inicial.
O pesquisador avalia que o número real pode ser maior: seu levantamento não contempla operações de balcão, as chamadas OTC (over-the-counter), em que grandes blocos de ativos são negociados diretamente entre as partes, fora dos livros das corretoras.
Os números do episódio
| Métrica | Valor |
|---|---|
| Desvio estimado | mais de US$ 133 milhões |
| Alerta inicial (2/11) | mais de US$ 106 milhões |
| Retiradas adicionais | cerca de US$ 27 milhões |
| USDC movimentados (Bitquery) | aproximadamente US$ 108,8 milhões |
| Janela das retiradas | 21 horas, entre 1º e 2/11 |
| Stablecoins convertidas em ETH | cerca de US$ 63 milhões em 4 horas |
| Envio a endereço ligado à Kraken | 396 ETH |
| Valor que poderia ter sido congelado | mais de US$ 30 milhões |
| Ativos sob gestão do banco | mais de US$ 250 bilhões (211,5 bilhões de euros) |
| Base de clientes | 5,6 milhões |
Como o dinheiro saiu
A empresa de análise de blockchain Bitquery fez uma apuração independente e localizou cerca de US$ 108,8 milhões em USDC — stablecoin atrelada ao dólar, usada para transferir valor sem a oscilação típica das criptomoedas — saindo de contas mantidas na Kraken, na Crypto.com e na OKX. O intervalo entre as retiradas foi de apenas 21 horas, entre 1º e 2 de novembro.
O desenho escolhido pelos criminosos tinha um objetivo evidente: quebrar a linha do tempo. Os recursos passaram por centenas de carteiras antes da conversão. Cerca de US$ 63 milhões em stablecoins viraram Ethereum (ETH) em quatro horas — escolha estratégica, já que o ETH, ao contrário de tokens como USDC e USDT, não tem um emissor central capaz de congelar saldo por decisão unilateral. A Bitquery também flagrou o envio de 396 ETH a um endereço de depósito vinculado à Kraken, sem conseguir determinar quem controlava a conta de destino nem se os valores foram bloqueados.
Parte seguiu para conversores instantâneos, como WellWallet e Kyrrex. Outra foi trocada por Monero (XMR) na plataforma Wagyu. O XMR é desenhado para ocultar remetente, destinatário e montante — características que explicam sua presença frequente em investigações de lavagem de dinheiro com ativos digitais.
A conta da demora
ZachXBT foi além do rastreamento e cobrou transparência. Segundo ele, o intervalo até a divulgação pública do incidente permitiu que mais de US$ 30 milhões fossem movimentados quando ainda poderiam ter sido congelados por autoridades e pelos emissores das stablecoins.
Corretoras reagem sem apontar invasão
A Crypto.com confirmou ter identificado recursos vinculados ao caso e adotado bloqueios para impedir que continuassem circulando por sua plataforma, garantindo que os saldos dos usuários seguem disponíveis. A Kraken relatou restrições a contas associadas às transações suspeitas. Ambas sustentam que suas estruturas permanecem íntegras — sinal de que o acesso criminoso pode ter partido de outro elo da cadeia, e não de uma invasão direta aos sistemas das exchanges.
O plano cripto que ficou no meio do caminho
O ataque atinge o Arkéa justamente quando o banco tentava ampliar sua presença em ativos digitais. Em maio, o jornal francês L'Agefi noticiou que a instituição havia pedido autorização para prestar serviços com criptomoedas sob o MiCA, o marco regulatório da União Europeia para o setor — conjunto de regras que define exigências de capital, governança e proteção ao cliente para quem quer operar cripto no bloco.
A intenção era atender tanto o varejo quanto outras instituições financeiras, inclusive por meio da divisão Arkéa Banking Services.
Um mês de incidentes
O caso francês se soma a uma sequência ruim para o setor. Na semana anterior, a Binance sofreu um ataque com desvio estimado de US$ 6,3 bilhões em ativos digitais. No Brasil, o Mercado Bitcoin também foi alvo de uma invasão, com perdas milionárias.
A proximidade no calendário não implica o mesmo autor. ZachXBT declarou ter alto grau de confiança de que o Arkéa não foi atacado pelo Lazarus Group, grupo de hackers associado ao governo da Coreia do Norte e responsabilizado por diversos roubos de cripto. A forma de movimentar os recursos após o desvio destoa do padrão atribuído ao grupo norte-coreano.
O que ainda não se sabe
Não há resposta conclusiva sobre como os criminosos acessaram as contas do banco nas corretoras. Também não está claro se o dinheiro estava originalmente em moeda tradicional ou em ativos digitais, nem quanto poderá ser recuperado. O banco segue levantando prejuízos e as circunstâncias que permitiram as transações fraudulentas, com investigação em andamento.
O que isso significa para quem investe
Para o investidor brasileiro, o episódio reforça três pontos práticos.
Primeiro, custódia é risco de contraparte. Quando o ativo fica em uma exchange ou em uma instituição financeira, a segurança depende do elo mais frágil daquela cadeia — e o Arkéa mostra que o problema pode estar no acesso às contas, não no código da rede.
Segundo, stablecoin não é sinônimo de imobilidade. USDC e USDT só podem ser congelados por seus emissores; quando o criminoso converte tudo em ETH ou XMR, essa janela de bloqueio se fecha. Por isso a velocidade de comunicação é parte da defesa.
Terceiro, o ambiente regulatório não elimina incidentes. O MiCA organiza regras de operação, mas não impede que credenciais sejam comprometidas. Licença e governança reduzem risco, não o extinguem.