フランスの銀行グループ、クレディ・ミュチュアル・アルケアは、同行自身の口座から不正送金によって資金が流出し、専門プラットフォームを通じて暗号資産に換金されたサイバー攻撃を確認した。全体の規模は1億3,300万米ドルを超える可能性が高い。

クレディ・ミュチュアル・アルケアは、従業員12,000人超、会員・顧客580万人超を擁するフランスの主要銀行の一つである。グループの総資産は2,115億ユーロ（2,381億米ドル）に達し、オンライン子会社のフォルトゥネオ（Fortuneo）を傘下に持つ。

注目すべきは、本件を公表したのは銀行ではなかった点である。独立系オンチェーン調査者のZachXBTが2026年11月上旬に窃取を公表し、公開ブロックチェーン上で盗まれた資金の足跡を再構築した。アルケアが攻撃を確認したのはその2日後であり、事案は封じ込められ、顧客資産には影響がないと述べた。一方、ZachXBTは、攻撃が数日にわたり、さらなる相対取引（OTC）が含まれていた可能性があるため、自身の1億3,300万米ドルという推定は引き続き増加しうると警告している。

アルケアが確認したのは攻撃であって金額ではない

同行によると、攻撃により同行自身の口座から不正送金が可能となり、資金は最終的に専門プラットフォームを通じて暗号資産に移動した。この一連の流れが際立っているのは、銀行が声明を発表する前にオンチェーン上の痕跡が公開されていたためである。したがって、2日間にわたり、ブロックチェーンデータにアクセスできる者は誰でも資金の流出を追跡できた。

アルケアは、ZachXBTの1億3,300万米ドルという数字をオーダー・オブ・マグニチュード（桁の規模）としてのみ認めた。さらに同行は、不正取引の額が最終的な損失と一致する必要はないと述べた。盗まれた資金の一部は引き続きブロックされているが、同行は最終的な数字を示すには時期尚早であり、ブロックされている割合がどの程度大きいのかは明らかにしていない。結局、アルケアは最終的な損害が調査者の推定を下回るか上回るかを断言していない。

同行によれば、顧客が感じた事案の影響は一部の送金の遅延のみであった。同行は事前の予防措置として一部の取引を停止していたが、確認の朝までにほぼすべての業務が再開していた。アルケアは、発見後直ちにチームが必要なセキュリティ対策を有効化し、さらなる不正な資金移動を防止することを目指したと強調している。

グループの総資産と比較すると、当該額は comparatively 小さい：1億3,300万米ドルは2,381億米ドルの約0.06%に相当する。「当行はすでに、当該金額がクレディ・ミュチュアル・アルケアの財務的強さと堅牢性を損なうものでは決してないと述べることができる」と同行は述べた。

資金がインスタント取引所とモネロを通じて流出した経緯

ZachXBTはオンチェーン上で資金の流れを追跡した。まず、正体不明の欧州の主体が中央型取引所から1億600万米ドル超を引き出した。その後、さらに約2,700万米ドルが続いたとZachXBTは述べている。したがって、1億3,300万米ドル超の合計は二つの波から成り、第二波は第一波よりはるかに小さい。

攻撃者はその後、資金をUSDCからETHにスワップしたほか、他の換金も行った。次に、資金はWellWalletやKyrrexといったインスタント取引所を経由し、Wagyuを通じてモネロ（XMR）に移動した。さらに攻撃者はブリッジを使用して、収益の一部を複数のチェーンに分散させた。これらの各ステップは追跡を困難にする。インスタント取引所は通常、二つの暗号資産間の個別のスワップを直接処理するが、モネロへの切り替えが最も重くのしかかる。なぜなら、プライバシーコインはイーサリアム上で公開されているアドレスや金額を隠すからである。

資金の一部は早期にほぼ手の届かない場所にあった。調査者の評価では、3,000万米ドル超がすでに単純な凍結経路の外にあり、これは当局への通報が遅れたことによるとしている。例えば、USDCの発行者はアドレスをブロックし残高を凍結できるが、イーサにはそのような管理者が存在しない。したがって、最終的な損害は、銀行が実際にどれだけの資金をブロックできたかにも左右される。

ZachXBTは攻撃の背後にある主体についても言及している。攻撃者が北朝鮮のラザルス・グループには属していないと、「高い確信」を持っていると述べた。現在までのところ、銀行も調査者も実行犯の名前を明らかにしていない。

BitqueryはZachXBTより狭い範囲で計測

出回っている損失の数字は二つの計測に基づいており、それらを合算するのは誤りである。最も高い数字はZachXBTによるもので、1億3,300万米ドル超を挙げ、さらなるOTC取引があればより高い数字もありうると考えている。こうした取引では、二つの当事者が二国間で交渉し、多くの場合専門の仲介者を通じて公開の注文板の外で行われるため、必ずしも取引所のデータに現れない。一部の報道で引用された1億1,800万ユーロは、換算後の同一の1億3,300万米ドルに相当し、別個の計測ではない。

データプロバイダーのBitqueryは代わりに、Kraken、Crypto.com、OKXに帰属されるウォレットからの1億880万米ドルのUSDC引き出しを計上した。資金は15のアドレスに送られ、計測期間は2026年11月1日から11月2日までの約21時間である。間接的にのみ関連する二つのアドレスを除外すると、9,570万米ドルとなる。したがって、各計測の範囲の違いが乖離の一部を説明しており、ZachXBTは二つの流出波の両方を捉えている一方、Bitqueryの期間はより狭い。

確認の日、Bitqueryは関連するイーサリアムウォレットに約4,260万米ドルをまだ確認しており、その大部分はETHで保有されていた。この部分は少なくともオンチェーンで可視である。しかし、この計測には盲点がある。Bitqueryは銀行送金を把握できないため、銀行の口座から暗号資産への経路を独自に記録することはできない。したがって、アルケアとウォレットの関連は、ZachXBTの再構築と、資金が暗号資産に流れたとする銀行の声明に依拠している。同行はこれらの数字のいずれも正確な額として確認していない。

サービスプロバイダーのプラットフォームが疑われる侵入経路

銀行が提供している侵入経路に関する説明は簡潔なものにとどまる。それによると、攻撃者はサービスプロバイダーのプラットフォームを通じてシステムに侵入し、資金を他の銀行へ送金した。この種の侵入経路は、攻撃者が業務チェーン内の外部プラットフォームを標的として機関に到達する、第三者またはサプライチェーンの侵害に位置づけられる。アルケアは、この経路が暗号資産への換金も可能にしたかどうかを確認しておらず、オンチェーンデータはまさにこのステップを捉えることができない。同行はオンライン子会社フォルトゥネオを通じたアクセスを否定し、攻撃者が顧客口座を使用したことはないと述べている。公式には、正確な手法は依然として解明されていない。

本件の構図は珍しい。被害者は個人顧客や暗号資産取引所ではなく、銀行そのものである。それでありながら、資金は暗号資産の経路を通じて流出した。被害者が顧客の残高ではなく機関自身の資金である場合、問われるセキュリティ上の論点は資金管理の統制と外部プラットフォームの監視に集中する。攻撃の発端と手法を解明するため、アルケアは司法当局および警察当局と協力している。また、同行はフィッシング攻撃の可能性について警告も行っている。手法に加え、最終的な損失と資金のブロックされた割合も依然として未確定である。