以追蹤區塊鏈駭客攻擊與被竊資金聞名的鏈上研究員ZachXBT，確認法國銀行集團Crédit Mutuel Arkéa即為其在過去數日追蹤到約1.33億美元可疑加密貨幣流出的歐洲實體。調查結果顯示一家大型歐洲機構遭到入侵，而這家法國銀行尚未立即發表評論。

據報損失來自Crédit Mutuel Arkéa的加密貨幣錢包，該行是規模更大的Crédit Mutuel集團旗下區域品牌。這家銀行實體總資產超過2,350億美元，加密貨幣僅佔其投資組合的一小部分。針對錢包的攻擊持續多日，包含鏈上兌換及其他操作，ZachXBT仍在搜尋更多損失及洗錢企圖。

Crédit Mutuel Arkéa的業務範圍不僅限於銀行與保險。該集團為金融科技公司和新創銀行提供銀行服務及白標支付處理，其中部分客戶持有加密貨幣——包括Stripe。其子公司Arkéa Banking Services（ABS）提供SEPA轉帳、法幣入金通道，以及符合MiCAR規範的金融科技公司帳戶，也就是在歐盟《加密資產市場監管框架》下營運的企業。該銀行及其子公司並未揭露其加密貨幣持有量或對外錢包，這也是為何可疑交易只能透過監控部分最常用的中心化交易所才被發現。

資金透過中心化交易所轉移

此次攻擊從一系列中心化交易所帳戶中抽走資金。11月2日，ZachXBT確認多個中心化交易所帳戶損失1.06億美元，資金以USDC和USDT提領，這兩種穩定幣分別由Circle和Tether發行。

威脅行為者隨後透過WellWallet、Kyrrex等即時兌換平台將USDC換成ETH。部分資金透過Wagyu Wallet兌換為門羅幣（XMR）——一種設計上即隱匿交易細節的隱私資產——並跨鏈橋接至其他鏈。

ZachXBT指出，這種洗錢模式不符合Lazarus集團——被認定與北韓有關的駭客組織——的慣常作業程序。北韓駭客通常透過鏈上操作快速轉移贓款，最常使用乙太坊及其混幣器，因此透過中心化交易所兌換屬於罕見的洗錢模式。

提領集中在Kraken帳戶

根據ZachXBT彙整的威脅行為者錢包，部分資金是從Kraken熱錢包提領，隨後被拆分成較小的額度並轉移至新地址。攻擊發生一天後，Kraken限制了與此次攻擊相關的錢包，但資金尚未被凍結——此限制只是停止這些被標記帳戶的活動，代幣本身並未受到影響。

第一波攻擊使用了11個新錢包，主要從Kraken熱錢包提領資金。另有幾筆交易源自Crypto.com和OKX錢包，顯示有多個帳戶遭入侵。第二波提領又轉出2,700萬美元，同樣以Kraken錢包為主。

即使在ZachXBT首次公布之後，交易所提領仍持續進行，這家法國銀行未立即發表評論。「我的初步推測是，西歐一家大型金融機構遭到入侵，而此事目前正在被掩蓋，」ZachXBT透過其Telegram頻道表示。他指出，迄今已有超過3,000萬美元完成洗錢，歐盟執法單位尚無凍結資產的跡象。

威脅行為者化身ETH巨鯨

這名未知攻擊者在過去一週也因大規模買入ETH而引起鏈上瀏覽器的關注。最初跡象是一個未知錢包以每枚2,286美元的均價購入27,553枚ETH。在近期價格回檔後，巨鯨大規模進場並不罕見，直到後來才確認這個巨鯨地址與正在進行的攻擊事件有關。

該錢包並未將ETH作為儲備持有，而是開始透過多個應用程式和平台洗錢。

儘管資金以USDC和USDT提領，這些穩定幣並未被凍結。此決定與近期幣安遭駭後的迅速反應形成對比，當時Circle和Tether立即凍結了被標記的攻擊者地址。兩家發行方是否會對與本案相關的地址採取同樣措施，以及Crédit Mutuel Arkéa是否會公開回應這次入侵事件，目前仍無定論。