De Franse bankengroep Crédit Mutuel Arkéa heeft een cyberaanval bevestigd waarbij frauduleuze overboekingen geld uit de eigen rekening van de instelling verplaatsten naar cryptocurrencies via gespecialiseerde platforms. De totale omvang komt waarschijnlijk boven de 133 miljoen USD uit.

Crédit Mutuel Arkéa is een van de grote banken van Frankrijk, met meer dan 12.000 medewerkers en meer dan 5,8 miljoen leden en klanten. De totale activa van de groep bedragen 211,5 miljard EUR (238,1 miljard USD), en de groep bezit de online dochteronderneming Fortuneo.

Opvallend is dat de zaak niet door de bank zelf openbaar werd gemaakt. De onafhankelijke on-chain onderzoeker ZachXBT legde de diefstal begin november 2026 bloot en reconstrueerde het spoor van de gestolen fondsen over publieke blockchains. Arkéa bevestigde de aanval pas twee dagen later en verklaarde dat het incident onder controle was gebracht en dat klanttegoeden niet waren getroffen. ZachXBT waarschuwde intussen dat zijn schatting van 133 miljoen USD nog kan oplopen, omdat de aanval zich over meerdere dagen uitstrekte en mogelijk aanvullende over-the-counter (OTC)-transacties omvatte.

Arkéa bevestigt de aanval, niet het bedrag

Volgens de bank maakte de aanval frauduleuze overboekingen vanaf de eigen rekening van de instelling mogelijk, en de fondsen belandden uiteindelijk via gespecialiseerde platforms in crypto. De volgorde valt op, omdat het on-chain spoor al openbaar was voordat de bank haar verklaring uitbracht. Twee dagen lang kon dus iedereen met toegang tot blockchaingegevens de uitstroom volgen.

Arkéa onderschreef het bedrag van 133 miljoen USD van ZachXBT slechts als een orde van grootte. De bank voegde eraan toe dat het volume van de frauduleuze transacties niet per se overeenkomt met het uiteindelijke verlies. Een deel van de gestolen fondsen blijft geblokkeerd, maar de instelling zegt dat het te vroeg is voor een definitief cijfer en heeft niet bekendgemaakt hoe groot het geblokkeerde aandeel is. In feite laat Arkéa open of de uiteindelijke schade onder of boven de schatting van de onderzoeker zal uitkomen.

Klanten merkten het incident alleen op als vertragingen van individuele overboekingen, volgens de bank. Deze had eerder uit voorzorg bepaalde transacties opgeschort, en tegen de ochtend van de bevestiging waren bijna alle activiteiten weer in gang gezet. Arkéa benadrukt dat haar teams direct na de ontdekking de noodzakelijke beveiligingsmaatregelen hebben geactiveerd om verdere frauduleuze geldstromen te voorkomen.

Gemeten naar de totale activa van de groep is het bedrag relatief klein: 133 miljoen USD komt ruwweg overeen met 0,06% van 238,1 miljard USD. "We kunnen al vaststellen dat de betrokken bedragen op geen enkele manier in staat zijn de financiële kracht en soliditeit van Crédit Mutuel Arkéa te ondermijnen," aldus de bank.

Hoe het geld via directe beurzen en Monero vertrok

ZachXBT volgde het pad van de fondsen on-chain. Eerst trok een niet-geïdentificeerde Europese entiteit meer dan 106 miljoen USD op van gecentraliseerde beurzen. Later volgden nog zo'n 27 miljoen USD, aldus ZachXBT. Het totaal van meer dan 133 miljoen USD komt dus uit twee golven, waarbij de tweede aanzienlijk kleiner was dan de eerste.

De aanvaller wisselde de fondsen vervolgens onder andere van USDC om naar ETH. Daarna liep het geld via directe beurzen zoals WellWallet en Kyrrex en werd het via Wagyu omgezet in Monero (XMR). Daarnaast gebruikte de aanvaller bridges om delen van de opbrengst over meerdere chains te verspreiden. Elke van deze stappen maakt het traceren moeilijker. Directe beurzen behandelen doorgaans afzonderlijke swaps tussen twee cryptocurrencies direct, terwijl de overstap naar Monero het zwaarst weegt, omdat de privacycoin de adressen en bedragen verbergt die op Ethereum openbaar zichtbaar blijven.

Een deel van de fondsen was al vroeg vrijwel onbereikbaar. Naar de beoordeling van de onderzoeker lag meer dan 30 miljoen USD al buiten eenvoudige bevriesingsroutes, wat hij wijt aan een late melding bij de autoriteiten. De uitgever van USDC kan bijvoorbeeld adressen blokkeren en daarmee saldo's bevriezen, terwijl Ether zo'n poortwachter niet kent. Daardoor hangt de uiteindelijke schade ook af van hoeveel van de fondsen de bank daadwerkelijk wist te blokkeren.

Toeschrijving trekt bij diefstallen van deze omvang de aandacht omdat de Lazarus Group uit Noord-Korea betrokken is geweest bij een reeks grote crypto-diefstallen die in overheids- en VN-beoordelingen zijn gedocumenteerd. ZachXBT heeft ook gereageerd op de vraag wie er achter de aanval zit. Hij zei "hoge overtuiging" te hebben dat de aanvaller niet tot de Noord-Koreaanse Lazarus Group behoort. Noch de bank noch de onderzoeker heeft tot nu toe een dader genoemd.

Bitquery meet nauwer dan ZachXBT

De verliescijfers die in omloop zijn, komen uit twee metingen, en ze bij elkaar optellen zou verkeerd zijn. Het hoogste komt van ZachXBT, die meer dan 133 miljoen USD noemt en een hoger cijfer mogelijk acht met aanvullende OTC-transacties. Bij zulke deals onderhandelen twee partijen bilateraal, vaak via gespecialiseerde tussenpersonen en buiten openbare orderboeken, zodat ze niet noodzakelijk in beursgegevens verschijnen. De 118 miljoen EUR die in sommige berichten wordt genoemd, komt na valutaomrekening overeen met dezelfde 133 miljoen USD en is geen afzonderlijke meting.

De dataprovider Bitquery telt in plaats daarvan 108,8 miljoen USD aan USDC-opnames van wallets die zij toeschrijft aan Kraken, Crypto.com en OKX. De fondsen gingen naar 15 adressen binnen een meetvenster van circa 21 uur tussen 1 en 2 november 2026. Als twee adressen die slechts indirect verbonden zijn worden uitgesloten, blijft 95,7 miljoen USD over. De reikwijdte van elke telling verklaart dus een deel van het verschil, aangezien ZachXBT beide uitstroomgolven omvat, terwijl het venster van Bitquery nauwer is.

Op de dag van de bevestiging zag Bitquery nog circa 42,6 miljoen USD in gekoppelde Ethereum-wallets, vooral in ETH. Dat deel is ten minste zichtbaar on-chain. De meting heeft echter een blinde vlek: Bitquery ziet bankoverschrijvingen niet en kan de route van de rekening van de bank naar crypto dus niet onafhankelijk documenteren. De verbinding tussen Arkéa en de wallets berust daarom op de reconstructie van ZachXBT en op de verklaring van de bank dat fondsen naar crypto zijn gevloeid. De instelling heeft geen van deze cijfers als exact bedrag bevestigd.

Platform van dienstverlener als vermoedelijk toegangspunt

De bank geeft slechts een korte toelichting op het toegangspunt. Volgens die toelichting kwamen de aanvallers het systeem binnen via het platform van een dienstverlener en stuurden ze geld naar andere banken. Een toegangspunt van deze aard plaatst de zaak in de categorie van inbreuken via derden of de toeleveringsketen, waarbij aanvallers een instelling bereiken door een extern platform in de operationele keten aan te vallen. Arkéa heeft niet bevestigd of deze route ook de omzetting naar crypto mogelijk maakte, en on-chain gegevens kunnen juist deze stap niet vastleggen. De bank ontkende elke toegang via haar online dochteronderneming Fortuneo en zegt dat de aanvallers geen klantrekeningen gebruikten. Officieel blijft de exacte methode dus onverklaard.

De opzet van de zaak is ongebruikelijk. Het slachtoffer is de bank zelf en niet individuele klanten of een crypto-beurs, maar het geld vertrok toch via cryptokanalen. Wanneer het slachtoffer de eigen schatkist van de instelling is en niet klantsaldi, draaien de relevante beveiligingsvragen om schatkistcontroles en het toezicht op externe platforms. Om de oorsprong en methode van de aanval op te helderen, werkt Arkéa samen met justitiële en politieautoriteiten. De bank heeft ook gewaarschuwd voor mogelijke phishingpogingen. Naast de methode blijven zowel het uiteindelijke verlies als de omvang van het geblokkeerde deel van de fondsen onbekend.