Raubzug bei Crédit Mutuel Arkéa: Wie 133 Millionen Dollar über einen Dienstleister zu Stablecoins und Monero wurden
Die französische Genossenschaftsbank Crédit Mutuel Arkéa mit 5,8 Millionen Mitgliedern und 211,5 Milliarden Euro Bilanzsumme hat bestätigt, dass ein Eindringling über die Plattform eines Dienstleisters in ihre Systeme gelangte und das eigene Firmenkonto der Bank nutzte, um rund 118 Millionen Euro – etwa 133 Millionen Dollar – an Konten bei anderen Banken zu überweisen. Die Bank hat den Vorfall am 4. November 2026 eingeräumt und bestätigt die Summe bis heute nicht.
Was die Bank bestätigt hat – und was nicht
In Stellungnahmen, die französische Medien und BleepingComputer zitierten, sprach Arkéa von einem raffinierten Angriff und erklärte, der Eindringling sei direkt über die Plattform eines Dienstleisters hereingekommen. Fortuneo, die eigene Onlinebank, schloss die Bank als Eintrittspunkt ausdrücklich aus, ebenso menschliches Versagen der eigenen Mitarbeiter. Die Überweisungen seien vom Konto der Bank und nicht von Kundenkonten ausgegangen, Kundengelder seien nicht betroffen. Einige Überweisungen hätten sich verzögert, während die Bank bestimmte Transaktionen vorsorglich aussetzte. Was sie nicht getan hat: die Zahl bestätigen. Auf die Frage nach der Schätzung von 133 Millionen Dollar antwortete sie gegenüber BleepingComputer, sie bestätige diese Information nicht und könne nur die Größenordnung bestätigen. Diese Einschränkung sollte man im Blick behalten: Die Summe ist eine Rekonstruktion eines Ermittlers aus On-Chain-Daten, keine vom Geschädigten abgesegnete Zahl. „Wir bestätigen diese Information nicht und können nur die Größenordnung bestätigen.“ Crédit Mutuel Arkéa, zitiert von BleepingComputer
Wie aus einer Überweisung ein Stablecoin wird
Die bisher berichteten Abläufe sind unspektakulär. Nach Recherchen von Grégory Raymond und anderen, zusammengefasst von ZATAZ, liefen die betrügerischen Überweisungen über mehrere Tage statt in einem Schub, und die auf den Überweisungen angegebenen Empfängernamen wurden so gewählt, dass sie zu den Namen der Zielkonten passten. Von dort wurden die Gelder als USDC und USDT, die beiden größten dollar-denominierten Stablecoins, auf Konten bei zentralisierten Börsen abgehoben. IT for Business berichtet unter Berufung auf das Blockchain-Datenunternehmen Bitquery, dass innerhalb von rund 20 Stunden am 1. und 2. November 108,8 Millionen Dollar in USDC von Konten bei Kraken, Crypto.com und OKX abflossen, verteilt auf 15 separate Wallets. Warum das Börsenkonto der Engpass ist
Das ist der Punkt, an dem es sich lohnt zu verweilen. Eine Banküberweisung lässt sich über die Korrespondenzkette zurückrufen, anfechten und rückgängig machen; eine Stablecoin-Überweisung nicht. Ein Stablecoin auf einer regulierten Börse ist aber ebenfalls nicht anonym, weshalb die Konten selbst offenbar das Problem waren, das die Betrüger zuerst lösen mussten. Den Berichten zufolge wurden sie im Voraus mit gefälschten Identitäten eröffnet, die gut genug waren, um die Know-your-customer-Prüfungen zu passieren, und die Empfängernamen auf den Überweisungen wurden an die Namen der Kontoinhaber angepasst, damit die absendende Bank sie akzeptierte. IT for Business ergänzt, dass die Konten offenbar direkt unter falschen Identitäten eröffnet und nicht von echten Kunden übernommen wurden, und dass elf der 15 Ziel-Wallets zuvor bereits Gelder von denselben Börsen erhalten hatten, teils Monate vorher. Wenn das zutrifft, beschreibt es Vorbereitung statt Improvisation: Börsenkonten und Wallet-Infrastruktur, die bereitstanden, bevor die erste Überweisung die Bank verließ. 27.553 Ether, dann Monero
In der Nacht vom 1. auf den 2. November wurden rund 63 Millionen Dollar in Stablecoins über UniswapX, ein dezentrales Börsenprotokoll, gegen 27.553 ETH getauscht. Die Wahl ist praktisch begründet. Stablecoin-Emittenten können Guthaben auf Vertragsebene einfrieren, wenn sie dazu aufgefordert werden; bei Ether gibt es keinen Emittenten, den man fragen könnte. Der Tausch war laut denselben Berichten in weniger als vier Stunden abgeschlossen – schneller als eine gerichtliche Anordnung. Der Rest wurde auf Adressen verteilt, über Bridges zwischen Blockchains bewegt und durch Instant-Swap-Dienste geleitet, die in den Berichten als WellWallet und Kyrrex genannt werden, bevor ein Teil über einen Dienst namens Wagyu in Monero umgewandelt wurde. Monero verbirgt Sender, Empfänger und Betrag standardmäßig, sodass die Spur an dieser Grenze faktisch endet. Das ist inzwischen der übliche Endzustand großer Krypto-Diebstähle, und deshalb zählen die Stunden direkt nach einem Diebstahl mehr als die Wochen danach. Wie ein Einfrieren in der Praxis aussieht
Kraken erklärte, die verknüpften Konten in der Nacht von Montag, 2., auf Dienstag, 3. November, eingeschränkt zu haben, und dass die eigenen Systeme nicht kompromittiert worden seien. Crypto.com gab an, zugehörige Gelder gesperrt zu haben, und OKX untersuchte den Fall zum Zeitpunkt der Berichterstattung noch. ZachXBT hat argumentiert, eine langsame Benachrichtigung von Börsen und Behörden habe die Wäsche von mehr als 30 Millionen Dollar ermöglicht, die sonst womöglich noch hätten abgefangen werden können. Ein Einfrieren ist keine Wiederherstellung. Es ist eine Sperre auf einem Guthaben, während über das Eigentum gestritten wird, und die Freigabe hängt von rechtlichen Verfahren, den Bedingungen der Börse und dem Nachweis ab, welchem Anspruchsteller die Coins gehören. Die Bank erklärte, der Vorfall sei inzwischen abgeschlossen und unter Kontrolle – was ihre eigene Eindämmung beschreibt, nicht das Schicksal des Geldes. Was die Aktenlage nicht belegt
Festnahmen wurden nicht gemeldet. Weder die Eindringlinge noch der Dienstleister sind öffentlich identifiziert, und die Bank hat keine technischen Details dazu genannt, wie die Plattform genutzt wurde. Die Zuordnung ist offen: ZachXBT hat erklärt, er sei sich sehr sicher, dass es nicht die Lazarus-Gruppe war, während eine andere, ausdrücklich unbewiesene Berichterstattung auf frankophone Netzwerke verweist, die historisch mit Präsidenten-Betrugsmaschen in Verbindung gebracht werden. Numerama merkt an, dass die Methode selbst weiterhin unbekannt ist. Der Eintrittspunkt ist der unbefriedigendste Teil der Geschichte. Ein Eindringling in der Plattform eines Dienstleisters ist eine Lieferketten-Beschreibung, und sie wirft die Frage auf, die jede ausgelagerte Bankfunktion aufwirft: Welche Zugangsdaten der Dienstleister besaß und ob die Bank sehen konnte, dass sie benutzt wurden. Arkéa erklärt, mit den Justizbehörden zusammenzuarbeiten. Nach der bisher veröffentlichten Beweislage sind die Überweisungen, die Umwandlungen und die Sperrungen dokumentiert; der Eindringling nicht. Einen verwandten Blick darauf, wie Transaktionsanalyse nicht in einem Blogbeitrag, sondern vor Gericht geprüft wird, bietet unsere Darstellung des Bitcoin-Fog-Prozesses.
