Die französische Genossenschaftsbank Crédit Mutuel Arkéa teilte mit, dass Angreifer über die Plattform eines ihrer Dienstleister Zugang zu ihren Systemen erlangt hatten, und wies Berichte zurück, wonach Fortuneo, die Online-Bank der Gruppe, die Einbruchsstelle war.

Die Bank gab diese Informationen in einer Frage-und-Antwort-Erklärung bekannt, die am 4. November um 17:30 Uhr in Brest veröffentlicht wurde, nach einer früheren Erklärung vom 13:00 Uhr desselben Tages. Die Mitteilung beantwortete Fragen dazu, wie der Angriff abgelaufen war und wer betroffen war. Die offizielle Erklärung der Bank ist hier verfügbar.

Crédit Mutuel Arkéa erklärte, die Angreifer hätten eines der eigenen Konten der Bank genutzt, um Gelder an andere Banken zu überweisen. Die Gelder wurden anschließend möglicherweise über spezialisierte Plattformen in Kryptowährungen umgewandelt.

Fortuneo War Nicht die Einbruchsstelle

Einige Presseberichte hatten behauptet, die Angreifer seien über Fortuneo eingedrungen. Crédit Mutuel Arkéa wies diese Darstellung zurück und erklärte: „Entsprechend dem, was berichtet wurde, gab es keinen ‚Einstieg‘ über Fortuneo.“

Stattdessen nutzten die Angreifer nach Angaben der Bank die Plattform eines Dienstleisters, um direkt zu Crédit Mutuel Arkéa zu gelangen. Sie nannte den Anbieter nicht. Die Bank erklärte auch, dass interner menschlicher Fehler nicht für den Vorfall verantwortlich war, und beschrieb ihn als „einen ausgeklügelten Angriff von außen“, der inzwischen eingedämmt wurde. Ein über die Plattform eines Dienstleisters geleiteter Angriff – statt über die eigenen kundengerichteten Systeme einer Bank – ist genau die Art von Drittanbieter-Risiko, mit dem sich europäische Regeln inzwischen ausdrücklich befassen: Die Digital-Operational-Resilience-Act (DORA) der EU, die seit Januar 2025 in Kraft ist, verlangt von Finanzinstituten, Risiken durch IKT-Dienstleister zu managen und erhebliche Vorfälle an Aufsichtsbehörden zu melden.

Nach Angaben von Crédit Mutuel Arkéa nutzten die Angreifer keine Kundenkonten bei ihren Föderationen oder Tochtergesellschaften. Die Bank erklärte, der Vorfall habe keine finanziellen Folgen für Kunden, obwohl einige Überweisungen verzögert wurden.

Als Vorsichtsmaßnahme setzte die Gruppe bestimmte Transaktionen vorübergehend aus. Fast alle Vorgänge wurden im Laufe des Morgens wieder aufgenommen, nachdem die Prüfungen abgeschlossen und zusätzliche Sicherheitsmaßnahmen umgesetzt worden waren.

Die Gruppe erklärte, sie habe die zuständigen Behörden und Aufsichtsstellen informiert. Ihre Teams arbeiten mit Justiz- und Strafverfolgungsbehörden zusammen, um den Ursprung des Angriffs und dessen Durchführung zu ermitteln.

Die Bank warnte ihre Kunden zudem vor Phishing. Sie erklärte, solchen Vorfällen folge häufig ein Anstieg von Phishing-Versuchen, die darauf abzielen, persönliche Daten zu stehlen, und appellierte an die Kunden, wachsam zu bleiben.

Der folgende Beitrag wurde von Crypto Banter am 4. November auf X veröffentlicht:

🚨FRENCH BANK ATTACK CONFIRMED: FORTUNEO HIT, $133M+ DRAINED INTO CRYPTO! New reporting confirms that @fortuneo , the online arm of Crédit Mutuel Arkéa, was targeted. Attackers issued transfers and moved the funds into crypto exchange accounts opened with forged identities.… pic.twitter.com/YemTytogpM — Crypto Banter (@crypto_banter) November 4, 2026

Der Beitrag ist auf X verfügbar.

ZachXBT Verfolgt Die Gelder Über Blockchains Hinweg

ZachXBT, ein unabhängiger On-Chain-Ermittler, der dafür bekannt ist, gestohlene Kryptowährungen öffentlich über Börsen und Blockchains hinweg zu verfolgen, machte den Exploit erstmals am 2. November öffentlich bekannt. Er schätzte, dass die Verluste über 133 Millionen Dollar lagen, und sagte, der Betrag könnte noch steigen. Er erklärte, der Angriff habe sich über mehrere Tage erstreckt und könnte auch zusätzliche Over-the-Counter-Geschäfte umfasst haben, die die Summe erhöhen könnten.

Nach Angaben von ZachXBT tauschte der Angreifer USDC, einen an den US-Dollar gekoppelten Stablecoin, in ETH um und bewegte die Assets über Instant Exchanges wie WellWallet und Kyrrex. Die Gelder wurden außerdem über Wagyu in Monero (XMR) umgewandelt und über mehrere Blockchains gebrückt. Instant Exchanges ermöglichen Nutzern einen schnellen Tausch einer Kryptowährung in eine andere, oft ohne die vollständigen Identitätsprüfungen, die größere Plattformen verlangen. Monero ist so konzipiert, dass Absender, Empfänger und Beträge in seinem öffentlichen Ledger nicht sichtbar sind, was die Nachverfolgung schwieriger macht als auf transparenten Blockchains wie Bitcoin oder Ethereum.

ZachXBT erklärte, er sei „in hohem Maße überzeugt“, dass die Lazarus Group aus Nordkorea nicht für den Angriff verantwortlich war. Crédit Mutuel Arkéa hat keine Verdächtigen benannt.

Die Bank hat 12.073 Mitarbeiter und mehr als 5,8 Millionen Mitglieder und Kunden. Sie weist Gesamtvermögen von 211,5 Milliarden Euro (238,1 Milliarden Dollar) aus.

Auf die Frage, ob 118 Millionen Euro (133 Millionen Dollar) gestohlen worden seien, wollte Crédit Mutuel Arkéa die Zahl nicht bestätigen und erklärte, sie könne nur die Größenordnung bestätigen. Die Bank sagte, ein Teil der Gelder sei blockiert worden und weitere Bemühungen zur Wiedererlangung liefen.

Sie fügte hinzu, es sei zu früh, einen endgültigen Betrag anzugeben, erklärte jedoch, die Verluste seien „in keiner Weise geeignet, die finanzielle Stärke und Solidität“ der Gruppe zu untergraben. Die Identität des Dienstleisters, über den der Zugang erfolgte, der genaue endgültige Verlust und der Ausgang der Zusammenarbeit der Bank mit Justiz- und Strafverfolgungsbehörden sind weiterhin ungeklärt.

Quelle: CoinCentral