法国银行集团Crédit Mutuel Arkéa确认遭遇网络攻击，欺诈性转账将资金从该机构自有账户转出，并经由专业化平台转换为加密货币。总规模可能超过1.33亿美元。

Crédit Mutuel Arkéa是法国主要银行之一，拥有超过12,000名员工，服务超过580万会员和客户。集团总资产为2,115亿欧元（2,381亿美元），并拥有在线子公司Fortuneo。

值得注意的是，此案并非由银行公开。独立链上调查员ZachXBT于2026年11月初曝光了这起盗窃案，在公开区块链上重建了被盗资金的流转轨迹。Arkéa仅在两天后才确认此次攻击，表示事件已得到控制，客户资产未受影响。与此同时，ZachXBT提醒称，其1.33亿美元的估计值仍可能上升，因为攻击持续了数天，可能还涉及更多场外（OTC）交易。

Arkéa确认攻击，但未确认金额

据银行称，此次攻击使欺诈性转账得以从该机构自有账户转出资金，资金最终经由专业化平台流入加密货币。这一时间顺序格外引人注目，因为在银行发布声明之前，链上轨迹已经公开。因此，连续两天内，任何能够访问区块链数据的人都可以追踪资金流出。

Arkéa仅将ZachXBT的1.33亿美元数字确认为数量级。银行补充说，欺诈性交易的金额不一定与最终损失相符。部分被盗资金仍处于冻结状态，但该机构表示现在确定最终数字为时尚早，且未披露被冻结部分的比例有多大。实际上，Arkéa并未说明最终损失是低于还是高于调查员的估计。

据银行称，客户仅感受到个别转账的延误。该行此前已出于预防目的暂停了部分交易，到确认当天上午，几乎所有业务已恢复正常运行。Arkéa强调，其团队在发现后立即启动了必要的安全措施，以防止进一步的欺诈性资金流动。

相对于集团总资产而言，涉案金额相对较小：1.33亿美元约相当于2,381亿美元的0.06%。该行表示："我们已经可以声明，涉案金额绝不可能动摇Crédit Mutuel Arkéa的财务实力和稳健性。"

资金如何经由即时兑换平台和门罗币流出

ZachXBT在链上追踪了资金的路径。首先，一个身份不明的欧洲实体从中心化交易所提取了超过1.06亿美元。据ZachXBT称，随后又有约2,700万美元流出。因此，超过1.33亿美元的总金额来自两波流出，第二波的规模远小于第一波。

攻击者随后将资金从USDC兑换为ETH，并进行了其他转换。接着，资金经由WellWallet和Kyrrex等即时兑换平台，并通过Wagyu转换为门罗币（XMR）。此外，攻击者还利用跨链桥将部分收益分散到多条链上。这些步骤中的每一步都加大了追踪难度。即时兑换平台通常直接处理两种加密货币之间的单次兑换，而转换为门罗币的影响最为重大，因为这种隐私币隐藏了在以太坊上原本公开可见的地址和金额。

部分资金很早就已几乎脱离掌控。据调查员评估，超过3,000万美元当时已超出简单的冻结途径，他将此归因于向当局报告的延误。例如，USDC的发行方可以封禁地址从而冻结余额，而以太币则没有这样的守门人。因此，最终损失还取决于银行实际成功冻结了多少资金。

如此规模的盗窃案中，攻击者归属问题之所以备受关注，是因为朝鲜的Lazarus Group曾多次出现在政府和联合国评估报告所记录的重大加密货币盗窃案中。ZachXBT也对攻击背后的身份发表了评论。他表示，他"高度确信"攻击者不属于朝鲜的Lazarus Group。迄今为止，银行和调查员均未指认任何肇事者。

Bitquery的统计口径比ZachXBT更窄

流传的损失数字来自两次不同的统计，将它们相加是错误的。最高数字来自ZachXBT，他援引超过1.33亿美元，并认为随着更多OTC交易的出现，数字可能更高。在此类交易中，双方进行双边协商，通常通过专业化中介在公开订单簿之外进行，因此不一定出现在交易所数据中。部分报道援引的1.18亿欧元在换算后等同于1.33亿美元，并非独立统计。

数据提供商Bitquery则统计到1.088亿美元的USDC提款，来自其归因于Kraken、Crypto.com和OKX的钱包。资金流向15个地址，统计窗口约为2026年11月1日至11月2日之间的21小时。排除两个仅间接相关的地址后，剩余9,570万美元。因此，各统计口径的范围差异解释了部分差距，因为ZachXBT涵盖了两波流出，而Bitquery的窗口更窄。

在确认当天，Bitquery仍在相关联的以太坊钱包中观察到约4,260万美元，主要以ETH持有。这部分至少在链上可见。然而，该统计存在盲区：Bitquery无法看到银行转账，因此无法独立记录从银行账户到加密货币的路径。因此，Arkéa与这些钱包之间的关联既依赖ZachXBT的重建，也依赖银行关于资金流入加密货币的声明。该机构未确认上述任何数字为确切金额。

服务提供商平台疑似为入侵入口

银行对入侵入口仅作了简要说明。据其所述，攻击者通过一家服务提供商的平台进入系统，并将资金转往其他银行。这种入口类型使此案归类于第三方或供应链入侵事件，即攻击者通过瞄准其运营链条中的外部平台而触及该机构。Arkéa未确认这条途径是否也促成了向加密货币的转换，而链上数据恰恰无法捕捉这一步骤。银行否认通过其在线子公司Fortuneo发生任何入侵，并表示攻击者未使用客户账户。因此，官方层面上的确切手法仍未得到解释。

此案的设置不同寻常。受害者是银行本身，而非个别客户或加密货币交易所，但资金却经由加密渠道流出。当受害者是机构自有资金而非客户余额时，相关的安全议题便集中于资金库管控和对外部平台的监督。为查明攻击的来源和手法，Arkéa正与司法和警方当局合作。该行还警示了可能出现的钓鱼攻击。除手法之外，最终损失以及被冻结资金的比例仍无定论。