Crédit Mutuel Arkéa teria sofrido exploit de mais de US$ 133 milhões, mas banco não confirma

A alegação parte do investigador onchain ZachXBT. Em 2 de novembro de 2026, ele relatou que uma entidade da União Europeia, sem nome na época, perdeu mais de US$ 106 milhões em contas de exchanges centralizadas no dia anterior, com saques em USDC e USDT. Um dia depois, ele elevou o total para mais de US$ 133 milhões, após rastrear mais US$ 27 milhões em retiradas, parte delas posterior à primeira divulgação. Na noite de 3 de novembro, apontou o Crédit Mutuel Arkéa como a instituição, um banco cooperativo francês com mais de 5,6 milhões de clientes e ativos de 211,5 bilhões de euros (cerca de US$ 237 bilhões).

Sobre a movimentação, ZachXBT descreve troca agressiva de USDC por ETH, envio a instant exchanges (WellWallet, Kyrrex e outras), conversão para XMR via Wagyu e bridging entre várias redes. Ele afirma ter "alto grau de confiança" de que o atacante não é ligado ao Lazarus Group, da Coreia do Norte. Também sugere que o prejuízo real pode ser maior se houver atividade OTC. Ele critica a suposta omissão do banco, dizendo que o aviso às autoridades da UE poderia ter congelado fundos, e que mais de US$ 30 milhões já teriam sido lavados. O banco não confirmou nem negou o caso, e as alegações seguem baseadas na análise do próprio investigador, sem verificação independente.

Em 4 de novembro de 2026, o CEVIU noticiou "US$ 146 milhões são drenados de duas exchanges em 24 horas e ampliam sequência de ataques em quatro dias", que citava a exchange da UE ainda não identificada, com perda de US$ 106 milhões. A novidade agora é a atribuição ao Crédit Mutuel Arkéa (não confirmada) e a revisão do valor para mais de US$ 133 milhões. O texto anterior tratava a vítima como anônima.

Para quem opera ou audita risco em cripto, o caso, se confirmado, mostra que o vetor pode estar em contas de exchanges centralizadas ligadas a uma instituição tradicional, e não em contratos inteligentes. Isso é leitura editorial, não fato apurado. Também reforça a pressão por divulgação rápida de incidentes, já que a tese de ZachXBT é que o silêncio reduz a chance de congelar fundos. Até o banco ou as autoridades se manifestarem, vale tratar tudo como indício.