法國銀行集團 Crédit Mutuel Arkéa 確認遭遇網路攻擊，詐騙轉帳將資金移出該機構自有帳戶，並經專業平台轉入加密貨幣。總規模恐超過1.33億美元。

Crédit Mutuel Arkéa 是法國主要銀行之一，擁有超過12,000名員工，服務超過580萬名會員與客戶。集團總資產達2,115億歐元（2,381億美元），並持有線上子公司 Fortuneo。

值得注意的是，此案並非由銀行主動公開。獨立鏈上調查員 ZachXBT 於2026年11月初揭露此竊案，重組了被竊資金在公開區塊鏈上的流向。Arkéa 僅在兩天後才證實攻擊，表示已控制事件，且客戶資產未受影響。ZachXBT 則提醒，其1.33億美元的估計數字仍可能上升，因為攻擊持續了數天，且可能涉及更多場外（OTC）交易。

Arkéa 證實攻擊，但未證實金額

據銀行說明，攻擊使詐騙轉帳得以從該機構自有帳戶匯出，資金最終經專業平台轉入加密貨幣。此一順序格外引人注目，因為在銀行發表聲明之前，鏈上痕跡早已公開。因此，連續兩天內，任何能存取區塊鏈資料的人都能追蹤資金流出。

Arkéa 僅將 ZachXBT 的1.33億美元數字視為數量級予以認可。銀行補充，詐騙交易的金額未必等同最終損失。部分被竊資金仍處於凍結狀態，但該機構表示現在確定最終數字為時過早，且未透露凍結比例有多大。實際上，Arkéa 並未說明最終損害將低於或高於調查員的估計。

據銀行表示，客戶僅感受到個別轉帳出現延遲。銀行先前已作為預防措施暫停部分交易，至證實當天上午，幾乎所有業務已恢復運作。Arkéa 強調，其團隊在發現後立即啟動必要的安全措施，以防止進一步的詐騙資金移動。

相較於集團總資產，涉案金額相對較小：1.33億美元約為2,381億美元的0.06%。銀行表示：「我們已可聲明，涉案金額絕不會動搖 Crédit Mutuel Arkéa 的財務實力與穩健性。」

資金如何經即時兌換所與門羅幣流出

ZachXBT 在鏈上追蹤了資金流向。首先，一個身分不明的歐洲實體從中心化交易所提取超過1.06億美元。據 ZachXBT 所述，隨後又有約2,700萬美元流出。因此，超過1.33億美元的總額來自兩波流出，第二波明顯小於第一波。

攻擊者隨後將資金從 USDC 兌換為 ETH，以及其他轉換。接著，資金經過 WellWallet 和 Kyrrex 等即時兌換所，並透過 Wagyu 轉入門羅幣（XMR）。此外，攻擊者還利用跨鏈橋將部分所得分散到多條鏈上。每一個步驟都使追蹤更加困難。即時兌換所通常直接處理兩種加密貨幣之間的個別兌換，而轉入門羅幣的影響最為重大，因為這種隱私幣會隱藏在以太坊上公開可見的地址與金額。

部分資金早期就已幾乎無法觸及。據調查員評估，超過3,000萬美元當時已超出簡易凍結途徑所能觸及的範圍，他將此歸因於向主管機關通報過晚。例如，USDC 的發行方可以封鎖地址從而凍結餘額，而以太幣則沒有這樣的把關者。因此，最終損害也取決於銀行實際成功凍結了多少資金。

此類規模的竊案中，攻擊者身分歸因備受關注，因為北韓的 Lazarus Group 已出現在政府與聯合國評估報告所記錄的一系列重大加密貨幣竊案中。ZachXBT 也對攻擊者的身分發表看法。他表示，他「高度確信」攻擊者不屬於北韓的 Lazarus Group。迄今為止，銀行與調查員均未指認任何作案者。

Bitquery 的測量範圍比 ZachXBT 更窄

流通中的損失數字來自兩次測量，將兩者相加是錯誤的。最高的數字來自 ZachXBT，他引用超過1.33億美元，並認為若計入更多 OTC 交易，數字可能更高。此類交易由雙方透過雙邊協商進行，通常經由專業中介機構，且在公開訂單簿之外進行，因此未必出現在交易所數據中。部分報導引用的1.18億歐元，經匯率換算後等同同一筆1.33億美元，並非另一次測量。

數據提供商 Bitquery 則計算出1.088億美元的 USDC 提款，來自其歸屬於 Kraken、Crypto.com 和 OKX 的錢包。資金流向15個地址，測量窗口涵蓋2026年11月1日至11月2日之間約21小時。排除兩個僅間接關聯的地址後，金額為9,570萬美元。因此，各項統計的範圍差異解釋了部分差距，因為 ZachXBT 涵蓋了兩波流出，而 Bitquery 的窗口較窄。

在證實當天，Bitquery 仍在關聯的以太坊錢包中看到約4,260萬美元，主要以 ETH 持有。這部分至少在鏈上可見。然而，此測量存在盲點：Bitquery 看不到銀行轉帳，因此無法獨立記錄從銀行帳戶到加密貨幣的路徑。因此，Arkéa 與這些錢包之間的關聯，依賴於 ZachXBT 的重組以及銀行關於資金流入加密貨幣的聲明。該機構並未將其中任何數字確認為確切金額。

疑似入侵途徑為服務供應商平台

銀行對入侵途徑僅提供了簡短說明。據其說法，攻擊者透過服務供應商的平台進入系統，並將資金匯往其他銀行。此類入侵途徑使本案歸類於第三方或供應鏈入侵事件，即攻擊者藉由鎖定機構營運鏈內的外部平台進入該機構。Arkéa 未證實此途徑是否也使加密貨幣轉換成為可能，且鏈上數據無法精確捕捉此一步驟。銀行否認透過其線上子公司 Fortuneo 發生任何存取，並表示攻擊者未使用客戶帳戶。因此，就官方說法而言，確切手法仍未解釋清楚。

本案的架構並不尋常。受害者是銀行本身，而非個別客戶或加密貨幣交易所，但資金卻經由加密貨幣管道流出。當受害者是機構自有資金而非客戶餘額時，相關的安全問題便集中在資金管理控制與外部平台的監督上。為釐清攻擊的來源與手法，Arkéa 正與司法及警察機關合作。銀行也已警告可能出現網路釣魚攻擊。除了手法之外，最終損失以及被凍結資金的比例仍然未明。