Die französische Bank Crédit Mutuel Arkéa hat einen Cyberangriff bestätigt, bei dem betrügerische Überweisungen vom bankeigenen Konto abflossen und über spezialisierte Plattformen in Kryptowährungen landeten. Die Grössenordnung dürfte bei über 133 Mio. USD liegen.
Crédit Mutuel Arkéa ist eine französische Bank mit über 12'000 Mitarbeitenden und über 5.8 Mio. Mitgliedern und Kunden. Ihre Bilanzsumme beträgt 211.5 Mrd. EUR (238.1 Mrd. USD), ausserdem gehört die Online-Tochter Fortuneo zum Konzern. Öffentlich machte den Fall Anfang November 2026 allerdings nicht die Bank, sondern ZachXBT. Der unabhängige On-Chain-Ermittler rekonstruierte die Diebstahlsspuren auf öffentlichen Blockchains. Erst zwei Tage später bestätigte Arkéa den Angriff. Die Bank erklärte, der Vorfall sei eingedämmt und Kundenvermögen seien nicht betroffen. Die Schätzung von ZachXBT über 133 Mio. USD könnte nach seiner Aussage noch steigen. Denn der Angriff zog sich über mehrere Tage hin, zudem waren möglicherweise weitere OTC-Transaktionen beteiligt.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Arkéa bestätigt den Angriff, nicht die Summe
Nach Angaben der Bank ermöglichte der Angriff betrügerische Überweisungen vom eigenen Konto des Instituts. Über spezialisierte Plattformen wechselten die Gelder schliesslich in Krypto. Auffällig ist die Reihenfolge, denn die On-Chain-Spur war vor der Stellungnahme der Bank öffentlich. Zwei Tage lang konnte daher jeder mit Zugang zu Blockchain-Daten den Abfluss nachvollziehen.
Die 133 Mio. USD von ZachXBT bestätigte Arkéa nur in ihrer Grössenordnung. Ferner muss der Betrag der betrügerischen Transaktionen laut Bank nicht dem endgültigen Verlust entsprechen. Ein Teil der gestohlenen Gelder ist blockiert, für einen Endbetrag sei es nach Darstellung der Bank noch zu früh. Wie gross der blockierte Anteil ist, beziffert das Institut nicht. Letztlich lässt die Bank damit offen, ob der Schaden unter oder über der Schätzung des Ermittlers liegt.
Kundinnen und Kunden bekamen den Vorfall nach Angaben des Instituts nur als Verzögerung einzelner Überweisungen zu spüren. Zuvor hatte die Bank bestimmte Transaktionen vorsorglich ausgesetzt, am Morgen der Bestätigung liefen fast alle Operationen wieder. Gleichzeitig betont die Bank, ihre Teams hätten sofort nach Entdeckung die nötigen Sicherheitsmassnahmen aktiviert, um weitere betrügerische Bewegungen zu verhindern. Vergleichsweise gering fällt der Betrag gemessen an der Bilanzsumme aus, denn 133 Mio. USD entsprechen rund 0.06% von 238.1 Mrd. USD.
„Wir können bereits festhalten, dass die betroffenen Beträge in keiner Weise geeignet sind, die finanzielle Stärke und Solidität von Crédit Mutuel Arkéa zu beeinträchtigen." - Crédit Mutuel Arkéa
Wie das Geld über Sofort-Börsen und Monero abfloss
Den Weg der Gelder hat ZachXBT on-chain nachgezeichnet. Zunächst zog eine nicht identifizierte europäische Einheit über 106 Mio. USD von zentralisierten Börsen ab. Später folgten nach ZachXBTs Angaben rund 27 Mio. USD zusätzlich. Die Summe von über 133 Mio. USD setzt sich daher aus zwei Wellen zusammen, deren zweite deutlich kleiner ausfiel.
Anschliessend tauschte der Angreifer die Mittel unter anderem von USDC in ETH. Danach liefen die Gelder über Sofort-Börsen wie WellWallet und Kyrrex und wechselten via Wagyu in Monero (XMR). Ausserdem verteilte der Angreifer Teile der Beute über Brücken auf mehrere Chains. Jede dieser Stationen erschwert die Rückverfolgung. Sofort-Börsen wickeln in der Regel einzelne Tauschvorgänge zwischen zwei Kryptowährungen direkt ab. Am schwersten wiegt der Wechsel in Monero, denn der Privacy Coin verbirgt Adressen und Beträge, die auf Ethereum offen einsehbar sind.
Ein Teil der Gelder war früh kaum noch greifbar. Nach Einschätzung des Ermittlers lagen über 30 Mio. USD bereits ausserhalb einfacher Einfrierungswege. Er führt das auf eine verspätete Meldung an die Behörden zurück. Einfrieren lassen sich etwa USDC-Bestände, weil der Emittent Adressen sperren kann, bei Ether fehlt hingegen eine solche Stelle. Folglich hängt der endgültige Schaden auch davon ab, wie viel die Bank tatsächlich blockieren konnte. Zur Täterschaft äusserte sich ZachXBT ebenfalls. Er habe „hohes Vertrauen", dass der Angreifer nicht zur nordkoreanischen Lazarus Group gehöre. Und einen Täter haben bislang weder die Bank noch der Ermittler benannt.
Bitquery misst enger als ZachXBT
Die Verlustzahlen im Umlauf stammen aus zwei Messungen und lassen sich nicht addieren. Die höchste stammt von ZachXBT, der über 133 Mio. USD nennt und mit weiteren OTC-Transaktionen einen höheren Wert für möglich hält. Solche Geschäfte handeln zwei Parteien bilateral aus, oft über spezialisierte Vermittler und ausserhalb öffentlicher Orderbücher. In Börsendaten tauchen sie deshalb nicht zwingend auf. Die vereinzelt genannten 118 Mio. EUR entsprechen umgerechnet denselben 133 Mio. USD und sind keine eigene Messung.
Der Datenanbieter Bitquery zählt hingegen 108.8 Mio. USD an USDC-Abhebungen von Wallets, die er Kraken, Crypto.com und OKX zuordnet. Die Mittel gingen an 15 Adressen. Das Messfenster umfasst rund 21 Stunden zwischen dem 01.11. und dem 02.11.2026. Ohne zwei nur indirekt verbundene Adressen bleiben 95.7 Mio. USD. Somit erklärt sich ein Teil der Differenz aus der Abgrenzung, denn ZachXBT erfasst beide Abflusswellen.
Am Tag der Bankbestätigung sah Bitquery noch rund 42.6 Mio. USD, überwiegend in ETH, in verknüpften Wallets auf Ethereum. Dieser Teil ist zumindest on-chain sichtbar. Allerdings hat die Messung einen blinden Fleck. Bitquery sieht keine Banküberweisungen und kann den Weg vom Konto der Bank zu Krypto deshalb nicht unabhängig belegen. Folglich stützt sich die Verbindung zwischen Arkéa und den Wallets auf die Rekonstruktion von ZachXBT und auf die Bankaussage, dass Gelder in Krypto flossen. Als exakten Betrag bestätigt hat das Institut keine dieser Zahlen.
Dienstleister-Plattform als mutmassliches Einfallstor
Zum Einfallstor gibt die Bank nur eine knappe Darstellung. Demnach gelangten die Angreifer über die Plattform eines Dienstleisters ins System und schickten Geld an andere Banken. Ob dieser Weg die Umwandlung in Krypto ermöglichte, bestätigte Arkéa jedoch nicht. Gerade diesen Schritt bilden On-Chain-Daten nicht ab. Einen Zugriff über die Online-Tochter Fortuneo dementierte die Bank. Ebenso nutzten die Angreifer nach Angaben des Instituts keine Kundenkonten. Die genaue Methode bleibt somit offiziell ungeklärt.
Ungewöhnlich ist die Konstellation des Falls. Opfer ist die Bank selbst statt einzelner Kunden oder einer Krypto-Börse, und das Geld floss über Krypto-Kanäle ab. Um Ursprung und Methode des Angriffs zu klären, arbeitet Arkéa mit Justiz- und Polizeibehörden zusammen. Zudem warnte die Bank vor möglichen Phishing-Versuchen. Neben der Methode sind auch der endgültige Verlust und die Höhe des blockierten Anteils offen.
