Ограбление Crédit Mutuel Arkéa: как 133 миллиона долларов ушли через подрядчика и превратились в стейблкоины и Monero
Французская кооперативная банковская группа Crédit Mutuel Arkéa с 5,8 миллионами пайщиков и активами в 211,5 миллиарда евро подтвердила, что злоумышленник получил доступ к её системам через платформу подрядчика и использовал собственный корпоративный счёт банка, чтобы отправить около 118 миллионов евро, примерно 133 миллиона долларов, на счета в других банках. Банк раскрыл инцидент 4 ноября 2026 года и отказывается подтверждать сумму.
Что банк подтвердил, а что нет
В заявлениях, которые цитировали французские издания и BleepingComputer, Arkéa описала изощрённую атаку и заявила, что злоумышленник вошёл напрямую через платформу подрядчика. Банк прямо исключил Fortuneo, собственный онлайн-банк, как точку входа, а также исключил человеческую ошибку своих сотрудников. Он указал, что переводы шли с его собственного счёта, а не со счетов клиентов, и что средства клиентов не пострадали. Часть переводов задержалась, пока банк в качестве предосторожности приостановил отдельные операции. Чего банк не сделал — так это не подтвердил цифру. На вопрос об оценке в 133 миллиона долларов он ответил BleepingComputer, что не подтверждает эту информацию и может подтвердить лишь порядок величины. Эту оговорку стоит держать в уме: сумма представляет собой реконструкцию исследователя по данным блокчейна, а не цифру, утверждённую пострадавшей стороной. «Мы не подтверждаем эту информацию и можем подтвердить лишь порядок величины». Crédit Mutuel Arkéa в цитировании BleepingComputer
Как банковский перевод превращается в стейблкоин
Механика, о которой сообщалось до сих пор, не блещет эффектностью. По данным расследований Грегори Раймона и других, обобщённым ZATAZ, мошеннические переводы шли на протяжении нескольких дней, а не одной волной, а имена получателей в переводах подбирались так, чтобы совпадать с именами владельцев принимающих счетов. Оттуда деньги снимались в USDC и USDT, двух крупнейших стейблкоинах, номинированных в долларах, на счета централизованных бирж. IT for Business со ссылкой на блокчейн-аналитиков Bitquery сообщает, что 108,8 миллиона долларов в USDC ушли со счетов на Kraken, Crypto.com и OKX примерно за 20 часов 1 и 2 ноября, распределившись по 15 отдельным кошелькам. Почему счёт на бирже — это узкое место
Именно на этой части истории стоит задержаться. Банковский перевод можно отозвать, оспорить и развернуть по цепочке корреспондентских отношений; перевод стейблкоинов — нельзя. Но стейблкоин на регулируемой бирже тоже не анонимен, и поэтому сами счета, судя по всему, были той проблемой, которую мошенникам пришлось решать в первую очередь. В сообщениях их описывают как открытые заранее по поддельным документам, достаточно убедительным, чтобы пройти проверку клиента, причём имена получателей в переводах подгонялись под имена владельцев счетов, чтобы банк-отправитель их принял. IT for Business добавляет, что счета, похоже, открывались напрямую по поддельным личностям, а не захватывались у реальных клиентов, и что одиннадцать из 15 кошельков-получателей ранее уже получали средства с тех же бирж, иногда за месяцы до этого. Если это подтвердится, речь идёт о подготовке, а не об импровизации: биржевые счета и инфраструктура кошельков были готовы до того, как из банка ушёл первый перевод. Двадцать семь тысяч эфира, затем Monero
В ночь с 1 на 2 ноября около 63 миллионов долларов в стейблкоинах было обменяно на 27 553 ETH через UniswapX, протокол децентрализованного обмена. Выбор практичен. Эмитенты стейблкоинов могут заморозить балансы на уровне контракта, если их об этом попросят; у эфира нет эмитента, к которому можно обратиться. Обмен, по тем же сообщениям, занял меньше четырёх часов — быстрее, чем судебное предписание. Остаток разделили между адресами, перевели между блокчейнами через мосты и прогнали через сервисы мгновенного обмена, названные в сообщениях как WellWallet и Kyrrex, после чего часть конвертировали в Monero через сервис под названием Wagyu. Monero по умолчанию скрывает отправителя, получателя и сумму, так что след фактически обрывается на этой границе. Это сегодня стандартный финал крупных краж криптовалют, и поэтому часы сразу после кражи значат больше, чем недели после неё. Как заморозка выглядит на практике
Kraken заявила, что ограничила связанные счета в ночь с понедельника 2 на вторник 3 ноября и что её собственные системы не были скомпрометированы. Crypto.com сообщила, что заблокировала связанные средства, а OKX на момент публикации сообщений ещё вела проверку. ZachXBT утверждает, что медленное уведомление бирж и властей позволило отмыть более 30 миллионов долларов, которые иначе можно было бы перехватить вовремя. Заморозка — это не возврат. Это удержание баланса, пока идёт спор о праве собственности, и его снятие зависит от судебной процедуры, условий самой биржи и доказательства того, какому заявителю принадлежат монеты. Банк заявил, что инцидент теперь закрыт и находится под контролем, — это описывает локализацию внутри банка, а не судьбу денег. Чего материалы дела не устанавливают
Об арестах не сообщалось. Ни злоумышленники, ни подрядчик публично не идентифицированы, и банк не раскрыл технических деталей о том, как использовалась платформа. Атрибуция открыта: ZachXBT заявил, что с высокой степенью уверенности исключает группу Lazarus, тогда как другая, прямо недоказанная линия сообщений указывает на франкофонные сети, исторически связанные со схемами «мошенничества президента». Numerama отмечает, что сам метод остаётся неизвестным. Точка входа — самая неудовлетворительная часть истории. Злоумышленник внутри платформы подрядчика — это описание цепочки поставок, и оно поднимает вопрос, который возникает при любой переданной на аутсорсинг банковской функции: какие учётные данные были у подрядчика и мог ли банк видеть, что их используют. Arkéa заявляет о сотрудничестве с судебными органами. Судя по опубликованным данным, переводы, конвертации и заморозки задокументированы; проникновение — нет. О том, как анализ транзакций проверяется в суде, а не в записи блога, см. наш материал о процессе над Bitcoin Fog.
