Французская банковская группа Crédit Mutuel Arkéa подтвердила кибератаку, в ходе которой мошеннические переводы вывели средства с собственного счета учреждения в криптовалюты через специализированные платформы. Общий масштаб, вероятно, превышает 133 млн долларов.

Crédit Mutuel Arkéa — один из крупнейших банков Франции, в котором работает более 12 000 сотрудников и который обслуживает более 5,8 млн членов и клиентов. Совокупные активы группы составляют 211,5 млрд евро (238,1 млрд долларов), а в ее состав входит онлайн-дочерняя компания Fortuneo.

Примечательно, что дело предало огласке не руководство банка. Независимый on-chain-расследователь ZachXBT раскрыл кражу в начале ноября 2026 года, восстановив след похищенных средств по публичным блокчейнам. Arkéa подтвердила атаку лишь два дня спустя, заявив, что инцидент был локализован и активы клиентов не пострадали. Сам ZachXBT, со своей стороны, предупредил, что его оценка в 133 млн долларов может вырасти, поскольку атака продолжалась несколько дней и могла включать дополнительные внебиржевые (OTC) сделки.

Arkéa подтверждает атаку, но не сумму

По словам банка, атака позволила совершить мошеннические переводы с собственного счета учреждения, а средства в итоге переместились в криптовалюты через специализированные платформы. Эта последовательность примечательна тем, что on-chain-след стал публичным еще до заявления банка. Таким образом, в течение двух дней любой, кто имел доступ к данным блокчейна, мог отследить отток средств.

Arkéa подтвердила сумму в 133 млн долларов от ZachXBT лишь как порядок величины. Банк добавил, что объем мошеннических транзакций не обязательно совпадает с итоговым ущербом. Часть похищенных средств остается заблокированной, но в учреждении заявили, что рано говорить об окончательной цифре, и не раскрыли, какова доля заблокированных средств. Фактически Arkéa оставляет открытым вопрос, окажется ли итоговый ущерб ниже или выше оценки расследователя.

По данным банка, клиенты почувствовали инцидент лишь в виде задержек отдельных переводов. Ранее в качестве меры предосторожности банк приостановил некоторые транзакции, и к утру подтверждения почти все операции снова работали. Arkéa подчеркивает, что ее команды незамедлительно activated необходимые меры безопасности сразу после обнаружения, чтобы предотвратить дальнейшие мошеннические перемещения средств.

В соотношении с совокупными активами группы задействованная сумма сравнительно невелика: 133 млн долларов составляют примерно 0,06% от 238,1 млрд долларов. «Мы уже можем заявить, что задействованные суммы никоим образом не способны подорвать финансовую мощь и устойчивость Crédit Mutuel Arkéa», — заявил банк.

Как средства покинули банк через мгновенные обменники и Monero

ZachXBT отследил путь средств on-chain. Сначала неустановленная европейская структура вывела более 106 млн долларов с централизованных бирж. Позже последовало еще около 27 млн долларов, говорит ZachXBT. Таким образом, общая сумма более 133 млн долларов складывается из двух волн, причем вторая была значительно меньше первой.

Затем злоумышленник обменял средства из USDC в ETH, среди прочих конвертаций. Далее деньги прошли через мгновенные обменники, такие как WellWallet и Kyrrex, и через Wagyu были переведены в Monero (XMR). Кроме того, злоумышленник с помощью мостов распределил часть выручки между несколькими блокчейнами. Каждый из этих шагов усложняет отслеживание. Мгновенные обменники, как правило, напрямую обрабатывают отдельные обмены между двумя криптовалютами, а переход в Monero играет наибольшую роль, поскольку этот приватностно-ориентированный коин скрывает адреса и суммы, которые остаются открыто видимыми в Ethereum.

Часть средств на раннем этапе оказалась почти вне досягаемости. По оценке расследователя, более 30 млн долларов уже находились вне простых механизмов заморозки, что он связывает с поздним сообщением властям. Например, эмитент USDC может блокировать адреса и тем самым замораживать балансы, тогда как у Ether нет такого контролирующего звена. Следовательно, итоговый ущерб зависит и от того, сколько средств банку фактически удалось заблокировать.

Атрибуция привлекает внимание при кражах такого масштаба, поскольку группа Lazarus из КНДР фигурирует в серии крупных криптовалютных краж, задокументированных в оценках правительств и Организации Объединенных Наций. ZachXBT также прокомментировал, кто стоит за атакой. Он заявил, что «высоко уверен», что злоумышленник не принадлежит к северокорейской группе Lazarus. Ни банк, ни расследователь пока не назвали исполнителя.

Bitquery измеряет уже, чем ZachXBT

Цифры потерь, фигурирующие в обращении, происходят из двух измерений, и складывать их было бы неверно. Наибольшая цифра принадлежит ZachXBT, который называет более 133 млн долларов и считает возможной более высокую с учетом дополнительных OTC-сделок. В таких сделках две стороны договариваются напрямую, часто через специализированных посредников и вне публичных биржевых стаканов, поэтому они не обязательно отражаются в биржевых данных. Упомянутые в некоторых отчетах 118 млн евро после конвертации — те же 133 млн долларов, а не отдельное измерение.

Провайдер данных Bitquery вместо этого насчитал 108,8 млн долларов в виде выводов USDC с кошельков, которые он относит к Kraken, Crypto.com и OKX. Средства ушли на 15 адресов в пределах измерительного окна продолжительностью около 21 часа — с 1 по 2 ноября 2026 года. За исключением двух адресов, связанных лишь косвенно, остается 95,7 млн долларов. Таким образом, охват каждого подсчета объясняет часть расхождения: ZachXBT фиксирует обе волны оттока, тогда как окно Bitquery уже.

В день подтверждения Bitquery все еще видел около 42,6 млн долларов на связанных кошельках Ethereum, преимущественно в ETH. Эта часть, по крайней мере, видна on-chain. Однако у измерения есть слепая зона: Bitquery не видит банковских переводов, поэтому не может независимо задокументировать маршрут со счета банка в криптовалюту. Связь между Arkéa и кошельками, таким образом, опирается на реконструкцию ZachXBT, а также на заявление банка о том, что средства ушли в криптовалюты. Учреждение не подтвердило ни одну из этих цифр как точную сумму.

Платформа поставщика услуг — предполагаемая точка входа

Банк дает лишь краткое описание точки входа. По его словам, злоумышленники проникли в систему через платформу поставщика услуг и перевели деньги в другие банки. Такая точка входа относит этот случай к компрометациям третьих сторон или цепочек поставок, при которых злоумышленники достигают учреждения, атакуя внешнюю платформу внутри его операционной цепочки. Arkéa не подтвердила, позволил ли этот маршрут также конвертировать средства в криптовалюты, а on-chain-данные не могут зафиксировать именно этот шаг. Банк отрицает любой доступ через свою онлайн-дочернюю компанию Fortuneo и заявляет, что злоумышленники не использовали клиентские счета. Таким образом, официально точный метод остается невыясненным.

Схема случая необычна. Жертвой является сам банк, а не отдельные клиенты или криптобиржа, и при этом деньги ушли через криптовалютные каналы. Когда жертвой является собственная казначейская система учреждения, а не клиентские балансы, вопросы безопасности сосредоточены на контроле казначейства и надзоре за внешними платформами. Чтобы выяснить происхождение и метод атаки, Arkéa сотрудничает с судебными и полицейскими властями. Банк также предупредил о возможных фишинговых попытках. Помимо метода, открытыми остаются как итоговый размер потерь, так и доля заблокированных средств.