Die französische Bankengruppe Crédit Mutuel Arkéa hat einen Cyberangriff bestätigt, bei dem betrügerische Überweisungen Gelder aus dem eigenen Konto der Institution bewegten und über spezialisierte Plattformen in Kryptowährungen umgeleitet wurden. Das Gesamtausmaß liegt voraussichtlich über 133 Millionen USD.

Crédit Mutuel Arkéa ist eine der großen Banken Frankreichs mit mehr als 12.000 Beschäftigten und über 5,8 Millionen Mitgliedern und Kunden. Die Gesamtassets der Gruppe belaufen sich auf 211,5 Milliarden EUR (238,1 Milliarden USD); zur Gruppe gehört auch die Online-Tochter Fortuneo.

Bemerkenswert ist, dass die Bank den Fall nicht selbst öffentlich machte. Der unabhängige On-Chain-Ermittler ZachXBT deckte den Diebstahl Anfang November 2026 auf und rekonstruierte die Spur der gestohlenen Gelder über öffentliche Blockchains. Arkéa bestätigte den Angriff erst zwei Tage später und erklärte, der Vorfall sei eingedämmt und Kundenvermögen sei nicht betroffen. ZachXBT warnte indessen, dass seine Schätzung von 133 Millionen USD noch steigen könnte, da sich der Angriff über mehrere Tage erstreckte und weitere OTC-Transaktionen (Over-the-Counter) umfasst haben könnten.

Arkéa bestätigt den Angriff, nicht den Betrag

Nach Angaben der Bank ermöglichte der Angriff betrügerische Überweisungen aus dem eigenen Konto der Institution; die Gelder flossen schließlich über spezialisierte Plattformen in Krypto. Der Ablauf fällt auf, weil die On-Chain-Spur öffentlich war, bevor die Bank ihre Erklärung abgab. Zwei Tage lang konnte also jeder mit Zugang zu Blockchain-Daten den Abfluss verfolgen.

Arkéa bestätigte die Zahl von 133 Millionen USD von ZachXBT nur als Größenordnung. Die Bank fügte hinzu, dass das Volumen der betrügerischen Transaktionen nicht dem endgültigen Verlust entsprechen müsse. Ein Teil der gestohlenen Gelder bleibt eingefroren, doch die Institution sagt, es sei zu früh für eine endgültige Zahl, und hat nicht offengelegt, wie groß der eingefrorene Anteil ist. Damit lässt Arkéa letztlich offen, ob der tatsächliche Schaden unter oder über der Schätzung des Ermittlers liegt.

Kunden spürten den Vorfall laut Bank lediglich als Verzögerungen bei einzelnen Überweisungen. Die Bank hatte zuvor vorsorglich bestimmte Transaktionen ausgesetzt; bis zum Morgen der Bestätigung liefen fast alle Vorgänge wieder. Arkéa betont, dass ihre Teams unmittelbar nach der Entdeckung die erforderlichen Sicherheitsmaßnahmen aktivierten, um weitere betrügerische Bewegungen zu verhindern.

Gemessen an den Gesamtassets der Gruppe ist die Summe vergleichsweise gering: 133 Millionen USD entsprechen rund 0,06 % von 238,1 Milliarden USD. „Wir können bereits jetzt feststellen, dass die betroffenen Beträge in keiner Weise geeignet sind, die finanzielle Stärke und Solidität von Crédit Mutuel Arkéa zu untergraben“, erklärte die Bank.

Wie die Gelder über Instant-Börsen und Monero abflossen

ZachXBT verfolgte den Weg der Gelder On-Chain. Zunächst zog eine nicht identifizierte europäische Entität mehr als 106 Millionen USD von zentralisierten Börsen ab. Rund 27 Millionen USD folgten später, so ZachXBT. Die Gesamtsumme von über 133 Millionen USD stammt somit aus zwei Wellen, wobei die zweite deutlich kleiner war als die erste.

Der Angreifer tauschte die Gelder anschließend unter anderem von USDC in ETH um. Danach liefen die Mittel über Instant-Börsen wie WellWallet und Kyrrex und gelangten über Wagyu in Monero (XMR). Zudem nutzte der Angreifer Bridges, um Teile der Erlöse über mehrere Chains zu verteilen. Jeder dieser Schritte erschwert die Nachverfolgung. Instant-Börsen wickeln in der Regel einzelne Tauschgeschäfte zwischen zwei Kryptowährungen direkt ab, während der Wechsel in Monero am schwersten wiegt, weil die Privacy-Coin Adressen und Beträge verbirgt, die auf Ethereum offen sichtbar bleiben.

Ein Teil der Gelder war früh fast unerreichbar. Nach Einschätzung des Ermittlers befanden sich bereits mehr als 30 Millionen USD jenseits einfacher Einfrierungswege, was er auf eine verspätete Meldung an die Behörden zurückführt. Der Emittent von USDC kann beispielsweise Adressen sperren und damit Guthaben einfrieren, während Ether einen solchen Gatekeeper nicht kennt. Der endgültige Schaden hängt folglich auch davon ab, wie viel die Bank tatsächlich einfrieren konnte.

Bei Diebstählen dieser Größenordnung richtet sich die Aufmerksamkeit auf die Urheberschaft, da Nordkoreas Lazarus-Gruppe in einer Reihe bedeutender Kryptodiebstähle auftauchte, die in Regierungs- und UNO-Einschätzungen dokumentiert sind. ZachXBT hat sich ebenfalls dazu geäußert, wer hinter dem Angriff steckt. Er erklärte, er habe ein „hohes Vertrauen“, dass der Angreifer nicht zur Lazarus-Gruppe Nordkoreas gehört. Weder die Bank noch der Ermittler haben bislang einen Täter benannt.

Bitquery misst enger als ZachXBT

Die im Umlauf befindlichen Verlustzahlen stammen aus zwei Messungen; ihre Addition wäre falsch. Die höchste stammt von ZachXBT, der mehr als 133 Millionen USD nennt und eine höhere Zahl unter Einbeziehung weiterer OTC-Transaktionen für möglich hält. Bei solchen Geschäften verhandeln zwei Parteien bilateral, oft über spezialisierte Intermediäre und außerhalb öffentlicher Orderbücher, sodass sie nicht unbedingt in Börsendaten auftauchen. Die in einigen Berichten genannten 118 Millionen EUR entsprechen nach Umrechnung denselben 133 Millionen USD und sind keine eigenständige Messung.

Der Datenanbieter Bitquery zählt stattdessen 108,8 Millionen USD in USDC-Abhebungen von Wallets, die er Kraken, Crypto.com und OKX zuordnet. Die Gelder gingen an 15 Adressen innerhalb eines Messfensters von rund 21 Stunden zwischen dem 1. und dem 2. November 2026. Ohne zwei Adressen, die nur indirekt verknüpft sind, verbleiben 95,7 Millionen USD. Der Umfang jeder Zählung erklärt also einen Teil der Differenz, da ZachXBT beide Abflusswellen erfasst, während Bitquerys Fenster enger ist.

Am Tag der Bestätigung sah Bitquery noch rund 42,6 Millionen USD auf verknüpften Ethereum-Wallets, überwiegend in ETH gehalten. Dieser Teil ist zumindest On-Chain sichtbar. Die Messung hat jedoch einen blinden Fleck: Bitquery sieht keine Banküberweisungen und kann daher den Weg vom Konto der Bank in Krypto nicht unabhängig dokumentieren. Die Verbindung zwischen Arkéa und den Wallets beruht somit auf ZachXBTs Rekonstruktion sowie auf der Erklärung der Bank, dass Gelder in Krypto flossen. Die Institution hat keine dieser Zahlen als exakten Betrag bestätigt.

Plattform eines Dienstleisters als vermutetes Einfallstor

Zur Einstiegstelle macht die Bank nur knappe Angaben. Danach gelangten die Angreifer über die Plattform eines Dienstleisters ins System und überwiesen Gelder an andere Banken. Eine solche Einstiegstelle ordnet den Fall den Kompromittierungen durch Dritte bzw. die Lieferkette zu, bei denen Angreifer eine Institution über eine externe Plattform in ihrer operativen Kette erreichen. Ob dieser Weg auch die Umwandlung in Krypto ermöglichte, hat Arkéa nicht bestätigt; On-Chain-Daten können genau diesen Schritt nicht erfassen. Die Bank bestritt jeglichen Zugang über ihre Online-Tochter Fortuneo und erklärt, die Angreifer hätten keine Kundenkonten genutzt. Offiziell bleibt die exakte Methade damit ungeklärt.

Die Konstellation des Falls ist ungewöhnlich. Opfer ist die Bank selbst, nicht einzelne Kunden oder eine Kryptobörse, und dennoch flossen die Gelder über Krypto-Kanäle ab. Wenn das Opfer die eigene Trésorerie der Institution und nicht Kundenguthaben ist, richten sich die relevanten Sicherheitsfragen auf Kontrollen der Trésorerie und die Aufsicht über externe Plattformen. Zur Klärung von Ursprung und Methode des Angriffs arbeitet Arkéa mit Justiz- und Polizeibehörden zusammen. Die Bank hat zudem vor möglichen Phishing-Versuchen gewarnt. Neben der Methode bleiben sowohl der endgültige Verlust als auch die Größe des eingefrorenen Anteils offen.