Francuska grupa bankowa Crédit Mutuel Arkéa potwierdziła cyberatak, w którym oszukańcze przelewy wyprowadziły środki z konta samej instytucji i trafiły do kryptowalut za pośrednictwem wyspecjalizowanych platform. Łączna skala prawdopodobnie przekroczy 133 miliony dolarów.

Crédit Mutuel Arkéa to jeden z największych banków we Francji, zatrudniający ponad 12 000 osób i obsługujący ponad 5,8 miliona członków i klientów. Łączne aktywa grupy wynoszą 211,5 miliarda EUR (238,1 miliarda USD), a w jej skład wchodzi internetowa spółka zależna Fortuneo.

Co istotne, sprawa nie została ujawniona przez bank. Niezależny badacz on-chain ZachXBT ujawnił kradzież na początku listopada 2026 roku, rekonstruując ślad skradzionych środków w publicznych blockchainach. Arkéa potwierdził atak dopiero dwa dni później, oświadczając, że incydent został opanowany, a aktywa klientów nie ucierpiały. ZachXBT zastrzegł jednocześnie, że jego szacunek 133 milionów dolarów może jeszcze wzrosnąć, ponieważ atak trwał kilka dni i mógł obejmować dalsze transakcje pozagiełdowe (OTC).

Arkéa potwierdza atak, ale nie kwotę

Według banku atak umożliwił oszukańcze przelewy z konta samej instytucji, a środki ostatecznie trafiły do kryptowalut poprzez wyspecjalizowane platformy. Ta sekwencja wyróżnia się, ponieważ ślad on-chain był publiczny, zanim bank wydał oświadczenie. Przez dwa dni każda osoba mająca dostęp do danych blockchainowych mogła śledzić wypływ środków.

Arkéa uznał kwotę 133 milionów dolarów podaną przez ZachXBT tylko jako rząd wielkości. Bank dodał, że wolumen oszukańczych transakcji nie musi odpowiadać ostatecznej stracie. Część skradzionych środków pozostaje zablokowana, ale instytucja twierdzi, że jest za wcześnie na ostateczną liczbę i nie ujawniła, jaką część udało się zablokować. W efekcie Arkéa pozostawia otwartą kwestię, czy ostateczna szkoda będzie niższa czy wyższa od szacunku badacza.

Klienci odczuli incydent jedynie jako opóźnienia pojedynczych przelewów, według banku. Bank wcześniej jako środek ostrożności wstrzymał pewne transakcje, a do rana w dniu potwierdzenia niemal wszystkie operacje działały ponownie. Arkéa podkreśla, że jego zespoły natychmiast po wykryciu uruchomiły niezbędne środki bezpieczeństwa, aby zapobiec dalszym oszukańczym ruchom.

W odniesieniu do łącznych aktywów grupy zaangażowana kwota jest stosunkowo niewielka: 133 miliony dolarów to około 0,06% z 238,1 miliarda dolarów. „Możemy już stwierdzić, że zaangażowane kwoty w żaden sposób nie są w stanie podważyć siły finansowej i solidności Crédit Mutuel Arkéa”, oświadczył bank.

Jak środki opuściły bank przez błyskawiczne giełdy i Monero

ZachXBT prześledził drogę środków on-chain. Najpierw niezidentyfikowany podmiot europejski wypłacił ponad 106 milionów dolarów ze scentralizowanych giełd. Kolejne około 27 milionów dolarów wypłynęło później, według ZachXBT. Łączna kwota ponad 133 milionów dolarów pochodzi więc z dwóch fal, przy czym druga była znacznie mniejsza od pierwszej.

Następnie atakujący wymienił środki z USDC na ETH, między innymi konwersje. Potem pieniądze przeszły przez błyskawiczne giełdy, takie jak WellWallet i Kyrrex, i trafiły do Monero (XMR) poprzez Wagyu. Dodatkowo atakujący użył bridge'ów, aby rozprzestrzenić część zysków na kilka sieci. Każdy z tych kroków utrudnia śledzenie. Błyskawiczne giełdy zazwyczaj obsługują bezpośrednio pojedyncze wymiany między dwiema kryptowalutami, natomiast przejście na Monero ma największe znaczenie, ponieważ ta prywatnośćowa waluta ukrywa adresy i kwoty, które pozostają jawnie widoczne na Ethereum.

Część środków była niemal poza zasięgiem już wcześnie. Według oceny badacza ponad 30 milionów dolarów znajdowało się już poza prostymi trasami zamrożenia, co przypisuje on późnemu zgłoszeniu do organów. Emitent USDC może na przykład blokować adresy i w ten sposób zamrażać salda, podczas gdy Ether nie ma takiego strażnika. W konsekwencji ostateczna szkoda zależy również od tego, ile środków bank faktycznie udało się zablokować.

Atrybucja przyciąga uwagę przy kradzieżach tej wielkości, ponieważ grupa Lazarus z Korei Północnej pojawiła się w szeregu większych kradzieży kryptowalut udokumentowanych w ocenach rządowych i ONZ. ZachXBT również wypowiedział się na temat sprawcy ataku. Powiedział, że ma „duże przekonanie”, że atakujący nie należy do północnokoreańskiej grupy Lazarus. Ani bank, ani badacz nie wskazał dotąd sprawcy.

Bitquery mierzy węższej niż ZachXBT

Krążące dane o stratach pochodzą z dwóch pomiarów i ich sumowanie byłoby błędem. Najwyższa pochodzi od ZachXBT, który podaje ponad 133 miliony dolarów i uznaje wyższą kwotę za możliwą przy dalszych transakcjach OTC. W takich transakcjach dwie strony negocjują dwustronnie, często za pośrednictwem wyspecjalizowanych pośredników i poza publicznymi arkuszami zleceń, więc nie muszą pojawiać się w danych giełdowych. Podawane w niektórych doniesieniach 118 milionów EUR to po przeliczeniu ta sama kwota 133 milionów dolarów i nie jest osobnym pomiarem.

Dostawca danych Bitquery zlicza natomiast 108,8 miliona dolarów w wypłatach USDC z portfeli, które przypisuje Kraken, Crypto.com i OKX. Środki trafiły do 15 adresów w oknie pomiaru około 21 godzin między 1 a 2 listopada 2026 roku. Po wyłączeniu dwóch adresów powiązanych tylko pośrednio pozostaje 95,7 miliona dolarów. Zakres każdego z liczeń wyjaśnia więc część różnicy, ponieważ ZachXBT obejmuje obie fale wypływu, a okno Bitquery jest węższe.

W dniu potwierdzenia Bitquery widział jeszcze około 42,6 miliona dolarów w powiązanych portfelach Ethereum, głównie w ETH. Ta część jest przynajmniej widoczna on-chain. Pomiar ma jednak ślepą plamę: Bitquery nie widzi przelewów bankowych, więc nie może samodzielnie udokumentować trasy z konta banku do kryptowalut. Powiązanie między Arkéa a portfelami opiera się więc na rekonstrukcji ZachXBT oraz na oświadczeniu banku, że środki popłynęły do kryptowalut. Instytucja nie potwierdziła żadnej z tych liczb jako dokładnej kwoty.

Platforma dostawcy usług podejrzewana jako punkt wejścia

Bank podaje jedynie krótki opis punktu wejścia. Według niego atakujący dostali się do systemu przez platformę dostawcy usług i wysłali pieniądze do innych banków. Takie wejście zalicza tę sprawę do kompromitacji stron trzecich lub łańcucha dostaw, w których atakujący docierają do instytucji, celując w zewnętrzną platformę w jej łańcuchu operacyjnym. Arkéa nie potwierdził, czy ta trasa umożliwiła również konwersję na kryptowaluty, a dane on-chain nie mogą uchwycić właśnie tego kroku. Bank zaprzeczył jakimkolwiek dostępowi przez swoją internetową spółkę zależną Fortuneo i twierdzi, że atakujący nie używali kont klientów. Oficjalnie dokładna metoda pozostaje więc niewyjaśniona.

Konfiguracja tej sprawy jest nietypowa. Ofiarą jest sam bank, a nie pojedynczi klienci czy giełda kryptowalut, a jednak pieniądze opuściły go kanałami kryptowalutowymi. Gdy ofiarą jest własny skarb instytucji, a nie salda klientów, pytania o bezpieczeństwo koncentrują się na kontroli skarbu i nadzorze nad zewnętrznymi platformami. Aby wyjaśnić pochodzenie i metodę ataku, Arkéa współpracuje z organami sądowymi i policyjnymi. Bank ostrzegł również przed możliwymi próbami phishingu. Poza metodą otwarte pozostają zarówno ostateczna strata, jak i wielkość zablokowanej części środków.