Hackers vulneran banco francés y mueven $133 millones vía criptomonedas

El 4 de noviembre, Fortuneo, banco en línea del grupo francés Crédit Mutuel Arkéa (grupo bancario francés), confirmó haber sufrido un ataque de fraude en línea. Los atacantes eludieron los controles de riesgo de las transferencias del banco y realizaron pagos directos a cuentas externas. Las agencias de rastreo en cadena detectaron una salida de activos superior a $133 millones, una cifra que establece un récord reciente de pérdidas por ciberataque en una sola operación para una institución financiera tradicional. A diferencia de las filtraciones de credenciales externas sufridas por bancos tradicionales en Japón, Corea y América, este incidente marca que los hackers han penetrado directamente el núcleo interno de los mecanismos de retiro de un banco comercial.

La caída de los controles internos del banco desencadena retiros en criptomonedas

Según la investigación de primera mano del periodista de criptomonedas Grégory Raymond, la línea de defensa central de Fortuneo fue vulnerada de manera fundamental. Los defraudadores obtuvieron durante el ataque la autoridad para iniciar transferencias externas directamente, pudiendo establecer libremente el nombre del beneficiario, eludiendo así la verificación de identidad del beneficiario que el banco realiza de forma rutinaria.

El grupo atacante utilizó previamente identidades falsas para completar la verificación de clientes en exchanges regulados como Kraken y Crypto.com. Los fondos fraudulentos fueron transferidos posteriormente por Fortuneo directamente a las direcciones de custodia de los exchanges según la información de cuentas reales, lo que indica que el sistema de cuentas de las plataformas de trading no fue vulnerado; el fallo se originó completamente en los mecanismos internos de control de riesgos del banco comercial.

La red de lavado de stablecoins se asienta mediante mezcladores entre cadenas

Tras la entrada de la moneda fiduciaria, los hackers la convirtieron rápidamente en activos en cadena. Los datos de monitoreo de la agencia de rastreo en cadena Bitquery muestran que el primer retiro de fondos se realizó desde Crypto.com a las 12:25 UTC del 1 de noviembre, y 44 minutos después, las direcciones de custodia de Kraken también mostraron salidas de alta frecuencia.

El detective en cadena ZachXBT señaló que el monto total lavado por los atacantes se estimó inicialmente en 106 millones de dólares en stablecoins, y posteriormente se verificó y ajustó al alza a más de 133 millones de dólares. Durante la noche del 1 al 2 de noviembre, los atacantes convirtieron aproximadamente 63 millones de dólares en USDC y USDT a 27.553 ether (ETH) a través del exchange descentralizado Uniswap.

Estos ethers se dispersaron inmediatamente en plataformas de intercambio instantáneo y canales entre cadenas, y parte de las posiciones se transfirieron a Monero para su asentamiento. Los analistas de inteligencia de la industria consideran que, dado que parte de los fondos pudo haberse movido a través de operaciones extrabursátiles y canales tradicionales de liquidación, la exposición real de Fortuneo continúa ampliándose.

La defensa financiera global muestra una polarización

Mientras el canal de liquidación central del banco en línea francés fue directamente vulnerado, otras instituciones financieras globales enfrentan una guerra de información periférica impulsada por IA. El regulador financiero de Corea del Sur reveló que 16 instituciones, incluidos Shinhan Bank y KB Kookmin Bank, han sufrido ataques con la herramienta de infiltración 'ARTEX' desde finales de septiembre; los hackers utilizaron los modelos Claude y DeepSeek para extraer aproximadamente 100.000 registros de crédito personales.

El equipo de seguridad Straiker en América Latina también detectó en octubre una herramienta automatizada llamada CARLIY 0S. El grupo de hackers CyberCartel utilizó múltiples modelos de lenguaje a gran escala para comprometer masivamente más de 400 endpoints financieros, robando ilegalmente 4.493 claves de API y credenciales de inicio de sesión. En el mismo período, los datos de 3.897 clientes del State Bank of India fueron filtrados en la dark web.

El Sawyer Savings Bank de Nueva York y el Hilltop Bank de Wyoming interrumpieron sus servicios en el tercer trimestre debido a vulnerabilidades en proveedores de software de terceros. Sin embargo, las cuentas centrales de los bancos de Japón, Corea, América y el sur de Asia no resultaron dañadas; solo el francés Fortuneo sufrió una interceptación sustancial de fondos que afectó directamente tanto a la moneda fiduciaria como a los activos en cadena.

Las autoridades judiciales y regulatorias financieras francesas han iniciado una investigación sobre si Fortuneo fue víctima de un fraude dirigido mediante la suplantación de identidad de altos ejecutivos, y los equipos de monitoreo en cadena están implementando un etiquetado de direcciones en tiempo real en varios nodos de enrutamiento de lavado desconocidos que contienen saldos de ether.