クレディ・ミュチュアル・アルケア、Fortuneoが侵入経路とする報道を否定――1億3300万ドル規模の暗号資産不正流出の調査が継続
重要ポイント
- •クレディ・ミュチュアル・アルケアは、攻撃者がオンラインバンクFortuneoではなくサービス提供企業のプラットフォームを通じてアクセスしたと述べ、内部の人為的ミスを原因とする可能性を否定した。
- •独立系オンチェーン調査者のZachXBTは損失額を1億3300万ドル超と見積もり、攻撃は数日にわたり、追加の店頭取引によって総額がさらに増える可能性があると述べた。
- •盗まれた資金はWellWalletやKyrrexなどのインスタント取引所を通じてUSDCからETHに交換され、Wagyu経由でモネロに換金され、追跡を困難にするため複数のブロックチェーン間でブリッジされた。
- •同行は、一部の送金が遅延したものの顧客に経済的損害はなく、損失がグループの財務健全性と体力を損なうものではないと主張した。
- •ZachXBTは北朝鮮のラザルスグループが関与していないという高い確信を示したが、クレディ・ミュチュアル・アルケアは進行中の調査で容疑者を特定していない。
フランスの相互協同組合銀行クレディ・ミュチュアル・アルケアは、攻撃者がサービス提供企業のプラットフォームを通じて同行のシステムにアクセスしたと発表し、同行のオンラインバンクFortuneoが侵入経路だったとする報道を否定した。
同行はこの情報を、11月4日午後5時30分にブレストで発表した質疑応答形式の声明の中で明らかにした。同日午後1時には先行する声明が発表されていた。この発表は、攻撃がどのように発生したか、誰が影響を受けたかをめぐる報道機関からの質問に答えるものだった。同行の公式声明はこちらで確認できる。
クレディ・ミュチュアル・アルケアによると、攻撃者は同行自身の口座の一つを使って他の銀行に送金した。その資金はその後、専門プラットフォームを通じて暗号資産に換金された可能性があるという。
Fortuneoは侵入経路ではなかった
一部の報道では、攻撃者がFortuneoから侵入したとされていた。クレディ・ミュチュアル・アルケアはこれを否定し、「報じられている内容にかかわらず、Fortuneoを通じた『侵入』はなかった」と述べた。
同行によると、攻撃者はサービス提供企業のプラットフォームを経由してクレディ・ミュチュアル・アルケアに直接アクセスしたという。同行はその企業名を明らかにしていない。また、企業内部の人為的ミスが原因ではなかったとし、今回の事件は「外部からの高度な攻撃」であり、すでに封じ込められたと説明した。ベンダーのプラットフォームを経由した侵入は、銀行自身の顧客向けシステムへの侵入とは異なり、欧州の規制が明示的に扱う第三者リスクに該当する。2025年1月から施行されているEUのデジタル業務レジリエンス法(DORA)は、金融機関に対し、ICTサービス提供企業に起因するリスクを管理し、重大インシデントを監督当局へ報告することを義務付けている。
クレディ・ミュチュアル・アルケアによると、攻撃者は連合会や傘下企業の顧客口座を使用していないという。同行は、この事件により顧客に経済的影響はないものの、一部の送金が遅延したと述べた。
予防措置として、同行は一部の取引を一時的に停止した。検証が完了し、追加のセキュリティ対策が実施された後、翌朝までにほぼすべての業務が再開された。
同行グループは、関係当局および監督機関に通報したと述べている。グループのチームは、攻撃の出どころと実行手法を特定するため、司法・捜査当局と協力している。
同行は顧客に対し、フィッシングに関する注意喚起も行った。同種の事件の後には個人情報を盗むフィッシング攻撃が増加することが多く、顧客には警戒を続けるよう呼びかけた。
以下の投稿は、Crypto Banterが11月4日にXで公開したものです:
🚨FRENCH BANK ATTACK CONFIRMED: FORTUNEO HIT, $133M+ DRAINED INTO CRYPTO! New reporting confirms that @fortuneo , the online arm of Crédit Mutuel Arkéa, was targeted. Attackers issued transfers and moved the funds into crypto exchange accounts opened with forged identities.… pic.twitter.com/YemTytogpM — Crypto Banter (@crypto_banter) November 4, 2026
この投稿はXで閲覧できる。
ZachXBT、複数ブロックチェーンにわたる資金の追跡
stolen cryptocurrencyの追跡を各地の取引所やブロックチェーンにわたって公に行うことで知られる独立系オンチェーン調査者のZachXBTは、11月2日にこの不正流出を初めて公に指摘した。損失額は1億3300万ドルを超え、さらに増加する可能性があるとし、攻撃は数日にわたって行われ、追加の店頭取引が含まれていれば総額がさらに上がる可能性があると説明した。
ZachXBTによると、攻撃者は米ドルにペッグしたステーブルコインUSDCをETHに交換し、WellWalletやKyrrexなどのインスタント取引所を通じて資産を移動させた。資金はさらにWagyuを通じてモネロ(XMR)に換金され、複数のブロックチェーン間でブリッジされた。インスタント取引所では、大規模プラットフォームで求められる完全な本人確認なしに、暗号資産を素早く交換できる場合が多い。モネロは送信者、受取人、金額が公開台帳に表示されないよう設計されており、ビットコインやイーサリアムのような透明なブロックチェーンよりも追跡が困難になっている。
ZachXBTは、北朝鮮のラザルスグループが犯人ではないという「高い確信」を持っていると述べた。クレディ・ミュチュアル・アルケアは容疑者を特定していない。
同行は従業員12,073人、会員・顧客数580万人超を擁し、総資産は2,115億ユーロ(2,381億ドル)と報告している。
1億1800万ユーロ(1億3300万ドル)が盗まれたのかと問われた際、クレディ・ミュチュアル・アルケアはこの数字を確認せず、桁の規模しか検証できないと述べた。同行は、資金の一部が凍結されており、追加の回収活動が進行中であると説明した。
最終的な損失額を示すにはまだ早いとしつつ、同行は損失が「グループの財務健全性と体力を損なう性質のものでは一切ない」と述べた。侵入に使用されたサービス提供企業の身元、正確な最終損失額、司法・捜査当局との協力の結果は、いずれも依然として未解決である。
出典:CoinCentral
