Non sono stati i conti dei clienti a essere svuotati, e questo è l’unico dettaglio su cui Crédit Mutuel Arkéa ha accettato di rassicurare pubblicamente. Tra il 1° e il 4 novembre 2026 un gruppo ancora non identificato è entrato nell’infrastruttura del quarto gruppo bancario francese passando — secondo l’ammissione della banca — “dalla piattaforma di uno dei nostri fornitori”, e ha disposto bonifici per un importo che l’AFP stima in 118 milioni di euro dal conto proprio dell’istituto. Quello che rende il caso diverso dal solito bonifico fraudolento è la ricostruzione forense pubblica che ne è seguita: un investigatore blockchain indipendente, ZachXBT, ha tracciato in tempo quasi reale il flusso dei fondi attraverso exchange, protocolli DeFi e servizi di mixing, arrivando a nominare la banca prima ancora che questa confermasse l’attacco.

Un fornitore, la porta d’ingresso

Crédit Mutuel Arkéa serve oltre 5,8 milioni di clienti e gestisce asset per 211,5 miliardi di euro attraverso le sue federazioni e filiali, tra cui la banca online Fortuneo e, in Belgio, Keytrade Bank. Nelle prime ore dopo la scoperta dell’incidente si era ipotizzato che il punto di ingresso fosse proprio Fortuneo, ma la direzione del gruppo ha smentito questa versione: secondo la banca, gli attaccanti sono entrati direttamente nell’infrastruttura della capogruppo, sfruttando l’accesso concesso a un fornitore di servizi esterno che non è stato nominato pubblicamente. Resta aperta — e gli esperti del settore la considerano la domanda più urgente dell’intera vicenda — la questione se quello stesso fornitore gestisca accessi analoghi anche per altri istituti bancari, il che trasformerebbe un incidente isolato in un rischio sistemico per il settore finanziario francese ed europeo.

La banca ha escluso con fermezza l’ipotesi di un errore interno di un dipendente, parlando di “attacco sofisticato proveniente dall’esterno”. Non ha però chiarito quali meccanismi di autorizzazione siano stati aggirati per disporre bonifici dal proprio conto aziendale, né il tipo esatto di accesso ottenuto attraverso la piattaforma del fornitore — se credenziali rubate, un’API compromessa, o un privilegio di integrazione mal configurato. La procura di Parigi ha aperto un’indagine formale su quello che gli inquirenti descrivono come l’opera di un “gruppo organizzato” esterno, senza al momento rivendicazioni pubbliche da parte di alcun collettivo.

La corsa del denaro: da USDC a Monero in 21 ore

È sul lato blockchain che la vicenda assume i contorni di un caso di scuola sul riciclaggio di proventi da cybercrimine. Secondo la piattaforma di analisi on-chain Bitquery, nell’arco di 21 ore sono stati prelevati circa 108,8 milioni di dollari in stablecoin USDC da conti aperti su tre dei maggiori exchange centralizzati al mondo — Kraken, Crypto.com e OKX — verso una rete di circa 15 wallet di destinazione. Kraken da solo ha gestito quasi il 95% del volume totale, con 178 prelievi distinti. I primi movimenti sono partiti da OKX il 1° novembre alle 12:25 UTC; quelli su Kraken sono iniziati appena 44 minuti più tardi, segno di un’operazione pianificata per muoversi su più fronti contemporaneamente.

Da lì, circa 63 milioni di dollari in stablecoin sono stati convertiti in 27.553 ether attraverso il protocollo di aggregazione UniswapX, per poi passare attraverso i servizi Kyrrex e WellWallet e confluire infine nel mixer Wagyu, con l’obiettivo finale di convertire tutto in Monero — la criptovaluta privacy-oriented che rende la tracciabilità on-chain pressoché impossibile una volta completato lo swap. È lo schema in tre fasi descritto dagli avvocati che seguono il caso: sottrazione di denaro tradizionale, conversione in criptovaluta, anonimizzazione attraverso strumenti che oggi restano in una zona grigia normativa.

ZachXBT contro l’orologio

Il 2 novembre, mentre la banca non aveva ancora comunicato nulla pubblicamente, ZachXBT — investigatore blockchain noto per aver già tracciato furti legati a Lazarus Group e altri grandi collettivi — ha segnalato su Telegram una perdita superiore a 106 milioni di dollari da parte di “un’entità europea” ancora senza nome. Nel giro di poche ore la cifra tracciabile pubblicamente era già scesa a 78 milioni di dollari, segno che il riciclaggio proseguiva a ritmo sostenuto mentre l’analisi era in corso. Il 3 novembre ZachXBT ha individuato altri 27 milioni di dollari di prelievi, portando la stima complessiva sopra i 133 milioni di dollari, e ha pubblicamente accusato la banca di aver ritardato la segnalazione dell’incidente agli exchange: secondo la sua analisi, oltre 30 milioni di dollari avrebbero potuto essere bloccati se l’allerta fosse arrivata prima. Alle 3:24 ora di Parigi, nella notte tra il 3 e il 4 novembre, ZachXBT ha nominato pubblicamente Crédit Mutuel Arkéa. La banca ha pubblicato il proprio comunicato ufficiale solo il giorno dopo.

Gli stablecoin coinvolti hanno comunque permesso un parziale recupero: Tether ha congelato circa 1,14 milioni di dollari in USDT legati al flusso, mentre Circle disponeva della capacità tecnica per bloccare altri 3,7 milioni di dollari in USDC, senza che sia confermato se lo abbia effettivamente fatto. Kraken e Crypto.com hanno dichiarato di aver bloccato autonomamente conti e fondi collegati all’attacco, precisando — un distinguo che gli exchange centralizzati fanno sempre più spesso in casi simili — di non essere essi stessi stati vittime di una violazione, ma solo canale di passaggio dei fondi rubati altrove. ZachXBT ha inoltre escluso, “con un alto grado di confidenza”, che dietro l’attacco ci sia il collettivo nordcoreano Lazarus Group, la pista più battuta in casi di furti crypto di questa scala.

“Il più grande attacco informatico mai subito da una banca francese”

È così che un avvocato dello studio Bersay ha definito pubblicamente l’episodio, e i numeri lo confermano: nessun precedente attacco a un singolo istituto bancario francese si era avvicinato a questa cifra. Un esperto della società di consulenza Almond ha fatto notare un dettaglio che gli inquirenti dovranno chiarire: un’operazione che, per muovere oltre cento milioni di euro attraverso più bonifici e più exchange, può essere durata ore se non giorni — un intervallo che solleva interrogativi sulla capacità di detection della banca durante la fase di esecuzione, non solo dopo.

La banca stessa ritiene che l’impatto non minacci la propria stabilità finanziaria, e sottolinea che parte dei fondi è stata bloccata mentre il recupero del resto resta in corso. Non è un dettaglio da poco che, secondo Journal du Geek, Arkéa avesse richiesto già a maggio 2026 un’autorizzazione MiCA per offrire servizi su criptovalute ai propri clienti: la stessa tecnologia che l’istituto puntava a integrare nella propria offerta è quella che gli attaccanti hanno usato per far sparire il denaro sottratto. La senatrice francese Nathalie Goulet ha annunciato che seguirà personalmente l’evoluzione del caso in sede parlamentare.

La lezione per il settore: condividere le difese come si condivide l’antiriciclaggio

Gli esperti consultati dalla stampa francese convergono su un punto: gli attacchi alla supply chain bancaria — dove il bersaglio reale non è la banca ma un fornitore terzo con accesso privilegiato alla sua infrastruttura — sono difficili da prevenire con gli strumenti di due diligence tradizionali, perché la superficie di attacco si estende a ogni integratore, piattaforma di pagamento o servizio gestito collegato al core bancario. La raccomandazione emersa è quella di costruire tra istituti finanziari una condivisione delle difese informatiche simile a quella già esistente per l’antiriciclaggio, insieme a controlli aggiuntivi — come un ritardo temporaneo obbligatorio — sulle conversioni verso criptovaluta per transazioni di importo anomalo, proprio il punto dove in questo caso la finestra di risposta si è rivelata troppo stretta.

• Verifica approfondita (e ricorrente, non solo all’onboarding) dei privilegi di accesso concessi a fornitori e piattaforme terze collegate ai sistemi di disposizione pagamenti
• Monitoraggio in tempo reale dei bonifici in uscita verso istituti terzi con soglie di allerta calibrate sul volume storico, non solo sull’importo singolo
• Canali di comunicazione pre-stabiliti con i principali exchange e emittenti di stablecoin per richieste di freeze urgenti, per non perdere le ore cruciali viste in questo caso
• Segmentazione degli accessi dei fornitori esterni, con privilegi minimi e scadenza automatica delle sessioni
• Threat intelligence condivisa a livello settoriale sugli attacchi alla supply chain bancaria, sul modello già collaudato per l’antiriciclaggio

Indicatori e dati della vicenda

Vittima: Crédit Mutuel Arkéa (4° gruppo bancario francese, 5,8M clienti, 211,5 Mld€ AUM)
Vettore d'ingresso: piattaforma di un fornitore terzo non identificato
Importo stimato: ~118 M€ (AFP) / oltre 133 M$ (ZachXBT, on-chain)
Timeline prelievi: 1 nov 12:25 UTC (OKX) -> +44min (Kraken) -> 21h totali
Percorso di lavaggio: USDC (Kraken/Crypto.com/OKX, ~15 wallet)
                      -> UniswapX -> ~27.553 ETH (~63M$)
                      -> Kyrrex -> WellWallet -> Wagyu (mixer) -> Monero
Fondi congelati: ~1,14M$ USDT (Tether); ~3,7M$ USDC bloccabili (Circle, non confermato)
Attribuzione: nessuna rivendicazione; Lazarus Group escluso da ZachXBT
Rilevazione pubblica: ZachXBT (Telegram), 2-4 novembre 2026, in anticipo sulla banca
Comunicato ufficiale banca: 4 novembre 2026
Indagine: Procura di Parigi, gruppo organizzato esterno

Restano aperte le domande che contano davvero: chi è il fornitore compromesso, se lo stesso vettore è replicabile su altre banche che ne condividono i servizi, e come un’operazione di questa portata sia potuta procedere per ore senza innescare un blocco automatico. Finché quelle risposte non arriveranno — dalla banca o dall’inchiesta giudiziaria — il caso Arkéa resterà il promemoria più costoso del 2026 sul fatto che, nella sicurezza bancaria, il perimetro da proteggere non finisce ai cancelli del proprio data center.