Hackers exploram fornecedor terceirizado e desviam até US$ 133 milhões do banco francês Crédit Mutuel Arkéa
O banco cooperativo francês Crédit Mutuel Arkéa revelou que criminosos invadiram a plataforma de um provedor terceirizado e, a partir desse acesso, usaram a própria conta operacional do banco para enviar transferências fraudulentas a outras instituições, desviando entre US$ 112,6 milhões e US$ 133 milhões conforme a fonte. Parte dos fundos já foi convertida em criptomoedas e lavada através de exchanges e do Monero antes da descoberta pública.
Em 4 de novembro de 2026, o Crédit Mutuel Arkéa confirmou publicamente que sofreu um ataque sofisticado após o pesquisador on-chain ZachXBT alertar, um dia antes, sobre retiradas suspeitas ligadas ao banco. Segundo a instituição, o incidente não resultou de erro humano interno: os atacantes comprometeram uma plataforma de um provedor de serviços terceirizado não identificado (o banco descartou tratar-se da Fortuneo) e, a partir desse acesso privilegiado, usaram a própria conta operacional do Arkéa para disparar transferências para outras instituições bancárias. As estimativas de perda variam entre cerca de €100 milhões (US$ 112,6 milhões), segundo o banco, e até €118 milhões (US$ 133 milhões), segundo ZachXBT.
O que diferencia este caso de um golpe comum contra cliente é o ponto de entrada: em vez de enganar um correntista com phishing, os atacantes atingiram um fornecedor com acesso técnico às contas operacionais do próprio banco, um ataque de cadeia de suprimentos financeira. Uma vez com os fundos em mãos, os criminosos seguiram um roteiro clássico de lavagem cripto: converteram USDC em ETH, moveram os valores para exchanges de troca instantânea como WellWallet e Kyrrex, e então converteram para Monero (XMR) via Wagyu — uma rota pensada para quebrar o rastro on-chain. Cerca de US$ 30 milhões já tinham sido lavados antes de o esquema ser descoberto publicamente.
O episódio expõe um ponto cego recorrente em antifraude bancário: o elo mais frágil muitas vezes não é o banco em si, mas os fornecedores terceirizados com acesso a sistemas de pagamento. Bancos e cooperativas de crédito deveriam auditar continuamente o acesso de terceiros a contas operacionais, aplicar segregação de funções, limites de valor e velocidade para transferências automatizadas, e monitorar padrões anômalos de saque, principalmente quando o destino final são exchanges de criptomoedas. Para o cliente final, o próprio banco já alertou para um risco colateral comum nesses casos: o aumento de tentativas de phishing que exploram a repercussão do incidente para se passar pela instituição e pedir confirmação de dados.
O Crédit Mutuel Arkéa afirma que os ativos dos clientes não foram afetados, suspendeu temporariamente sistemas para conter o ataque e retomou as operações de forma gradual com camadas extras de segurança. Autoridades francesas abriram investigação formal, e ZachXBT descartou a participação do grupo Lazarus com base nos padrões de lavagem observados, embora a atribuição do ataque ainda esteja em aberto.