El robo cripto de Crédit Mutuel Arkéa ya tiene cifra y responsable de la investigación: más de 133 millones de dólares perdidos en apenas dos días de retiradas y un total que todavía puede crecer. Lo ha destapado ZachXBT, el rastreador de blockchains más conocido del sector. El banco francés no ha dicho una palabra.
La relevancia no está en el importe, que no es el más alto del año, sino en quién lo sufre. Hasta ahora, los grandes desfalcos de 2026 habían golpeado a exchanges, protocolos de finanzas descentralizadas y plataformas de trading. Que el afectado sea un banco regulado europeo con 235.000 millones de dólares en activos cambia el tono de la conversación sobre custodia y supervisión.
Qué pasó: 106 millones primero, 27 después
ZachXBT publicó el primer aviso el 2 de noviembre. Habló de una entidad no identificada de la Unión Europea que había perdido más de 106 millones de dólares repartidos en varias cuentas de exchanges centralizados. Los fondos salieron en forma de stablecoins: USDC y USDT, las dos monedas digitales atadas al dólar que se usan para mover dinero sin la volatilidad del bitcoin.
Un día después llegó la segunda parte. El investigador detectó otros 27 millones de dólares en retiradas, algunas ejecutadas después de que su primera advertencia ya fuera pública. Ese detalle es el que más incomoda: si la entidad hubiera comunicado el incidente cuando lo detectó, parte del dinero podría haberse bloqueado a tiempo.
En su actualización final, ZachXBT señaló directamente a Arkéa. El grupo agrupa las federaciones de Crédit Mutuel de Bretaña y del Suroeste, suma unas 40 filiales y controla el banco online Fortuneo. No es una entidad de nicho: millones de clientes franceses operan a diario con alguna de sus marcas.
Un banco puede tardar días en reconocer un agujero; una blockchain lo publica en el segundo en que se mueve el dinero.
El rastro del dinero: Kraken, Crypto.com y OKX
La firma de análisis de blockchain Bitquery hizo su propio seguimiento y localizó 108,8 millones de dólares en USDC vinculados al presunto robo. Las retiradas salieron de cuentas en Kraken, Crypto.com, y OKX durante unas 21 horas, entre el 1 y el 2 de noviembre.
El dinero no se quedó quieto. Bitquery detectó que 62,98 millones de dólares en stablecoins se convirtieron en 27.553 ether (ETH) en apenas cuatro horas. Ese movimiento tiene una lectura clara para quien conoce el sector: pasar de una moneda estable a una volátil complica el rastreo y, sobre todo, dificulta que el emisor congele los fondos. USDC y USDT pueden bloquearse por orden de Circle o Tether; el ether, no.
Por qué la congelación llegó tarde
Aquí está el punto más delicado del caso. ZachXBT calcula que más de 30 millones de dólares se lavaron porque nadie avisó a tiempo, y sostiene que esas cantidades podrían haberse congelado si las autoridades europeas hubieran conocido el incidente desde el principio. Su hipótesis inicial, antes de identificar al banco, era precisamente esa: una gran institución financiera de Europa Occidental intentando tapar el problema.
No es una sospecha gratuita. Este año, tras el hackeo de Binance, emisores como Tether y Circle congelaron cerca de 2.900 millones de dólares, alrededor del 45% de lo robado, según un informe de Grayscale. La lección es incómoda: la velocidad al comunicar determina cuánto dinero se recupera. Y una entidad regulada tiene incentivos evidentes para no dar la noticia antes de tenerla atada.
Un patrón que se repite desde Mt. Gox
Para el lector que lleva poco en esto, conviene recordar que el sector no es ajeno a este tipo de golpes. El más simbólico sigue siendo el colapso de Mt. Gox en 2014, cuando el mayor exchange de bitcoin del mundo perdió unas 850.000 monedas y tardó meses en reconocer la magnitud del agujero. Desde entonces la industria ha mejorado en trazabilidad —hoy cualquier movimiento grande se detecta en horas— pero sigue fallando en el mismo punto: la transparencia cuando el afectado es una institución con reputación que proteger.
Con los datos disponibles hay tres cosas que conviene separar. Primera: el robo está razonablemente documentado en su parte on-chain, porque las transacciones son públicas y verificables. Segunda: la identificación de Arkéa como víctima es una atribución de un investigador independiente, no una confirmación oficial. Tercera: el total real depende de las operaciones fuera de los exchanges, el mercado OTC (las compraventas directas entre grandes operadores que no pasan por un libro de órdenes público), y ahí las cifras pueden crecer.
La lectura que me parece más útil no es la del susto, sino la de la custodia. Las stablecoins son a la vez el instrumento favorito de los ladrones para mover valor rápido y el único punto del ecosistema donde un tercero puede intervenir para revertir una operación. Esa contradicción el sector la arrastra desde que Circle empezó a congelar direcciones: la descentralización se acaba justo donde empieza el dinero regulado.
Para el inversor español hay una derivada práctica. MiCA, el reglamento europeo que ordena los criptoactivos desde finales de 2024, obliga a las entidades que prestan servicios con monedas digitales a notificar incidentes de seguridad a la autoridad competente en plazos muy cortos. Si Arkéa operaba a través de alguna filial registrada, la pregunta ya no es solo cuánto se perdió, sino cuánto se tardó en decirlo y ante quién. Los supervisores franceses tienen la pelota en su tejado.
Queda pendiente la respuesta del banco. BeInCrypto contactó con la entidad para recabar comentarios y, a la hora de publicar esa información, no había pronunciamiento público. Tampoco está claro si las autoridades han abierto expediente. Si finalmente hay confirmación, Crédit Mutuel Arkéa se sumará a una lista de víctimas de 2026 que ya acumula un récord poco deseable: más de 8.000 millones de dólares en pérdidas por hackeos en lo que va de año, según el recuento citado por Grayscale.
Cifras que solo contabilizan lo que se ve en la cadena. El resto —lo que se mueve en OTC, lo que se negocia en privado, lo que nunca se declara— sigue fuera del radar. Y eso, en un sector que presume de transparencia, es la parte que menos ha cambiado en una década.
