Французский банк ограбили в евро. Но масштаб потерь виден в цифровых долларах.
4 ноября Crédit Mutuel Arkéa подтвердил кибератаку: злоумышленники проникли через платформу стороннего поставщика и использовали корпоративный счёт банка для отправки переводов в другие финансовые организации. По данным банка, эти переводы могли позволить конвертировать средства в криптоактивы через специализированные платформы. Предварительная оценка ущерба составляет порядка 100 миллионов евро, часть средств заблокирована, а клиенты, включая клиентов Fortuneo, не пострадали. Именно здесь атака на Crédit Mutuel Arkéa и криптовалютный след пересекаются: согласно данным Bitquery, 126,04 миллиона долларов в USDC вышли с Kraken, Crypto.com и OKX на 17 кошельков, однако полная связь с потерями банка публично не подтверждена.
При подготовке этого материала мы изучили официальное заявление банка, репортаж AFP, опубликованный на Boursorama, аналитику Bitquery, материалы Ledger Insights и Cryptoast, а также комментарии бирж. Reuters оказался недоступен через наши инструменты; публикацию журналиста Грегори Реймона в X мы цитируем через Bitquery.
Кража не была совершена на блокчейне
Первый парадокс: ни один приватный ключ не был похищен. По данным банка, злоумышленники получили доступ к Arkéa через платформу стороннего поставщика, имя которого не раскрывается. Они использовали корпоративный счёт самого банка, а не счета клиентов федераций или дочерних структур. Банк исключает человеческий фактор и квалифицирует произошедшее как сложную внешнюю атаку, которая сейчас локализована. Ни один доступ, уточняется в заявлении, не прошёл через Fortuneo.
Согласно AFP, в среду, 4 ноября, Arkéa подал заявление в отдел по киберпреступлениям прокуратуры Парижа. Прокуратура возбудила дело о несанкционированном доступе к компьютерной системе в составе организованной группы и передала его в антикиберкриминальное подразделение полиции. Банк заверяет, что утраченные суммы не ставят под угрозу его финансовую устойчивость: по данным AFP, за первое полугодие банк зафиксировал чистую прибыль в размере 230 миллионов евро.
След ведёт на счета регулируемых бирж
Второй парадокс касается выбранного пути. По данным Грегори Реймона, которого цитирует Bitquery, переводы поступали на счета бирж, открытые на фиктивные имена. Ledger Insights восстановил хронологию снятий USDC 1 и 2 ноября: 102 миллиона долларов со счетов на Kraken, 5,4 миллиона на Crypto.com и около 660 000 долларов на OKX. Как правило, перед крупным переводом, от 5 до 10 миллионов за раз, сначала проходил тестовый платёж на 1 000 долларов. По данным Bitquery, итоговая сумма составила 126,04 миллиона долларов, распределённых по 17 кошелькам; на долю Kraken приходится около 95%. Без четырёх косвенно связанных кошельков сумма снижается до 95,71 миллиона.
По информации Ledger Insights, Kraken заявил, что инцидент не был инициирован с его платформы, что биржа ограничила задействованные счета, сотрудничает с правоохранительными органами и что ни один клиентский счёт не был взломан. По данным AMBCrypto, Crypto.com и OKX сообщили о блокировке связанных средств и проведении проверки. Kraken работает на территории Евросоюза по лицензии MiCA, выданной Центральным банком Ирландии в 2025 году, согласно The Block. Европейские правила для поставщиков услуг с криптоактивами подробно рассматриваются в нашем материале о мошенничестве под видом бирж и регуляторов.
Деньги обгоняют пресс-релизы
Согласно данным Bitquery, первое снятие прошло с OKX в 12:25 UTC в воскресенье, 1 ноября. Только за три часа до 23:00 было выведено около 73,2 миллиона долларов. Примерно за четыре часа 62,98 миллиона долларов в стейблкоинах были конвертированы в 27 553 ETH через UniswapX. Затем средства разделились. Около 36,09 миллиона долларов направились через LI.FI, в том числе через сервис конвертации в Monero, след которого на блокчейне не прослеживается. Ещё 8,14 миллиона долларов осели на депозитном адресе, связанном TRM с Kyrrex. По состоянию на 08:47 UTC 5 ноября отслеживаемыми оставались около 37,26 миллиона долларов, то есть порядка 30% от общей суммы.
Банк выступил с заявлением 4 ноября, через три дня после первых снятий, зафиксированных Bitquery. ZachXBT, следователь, сообщивший об инциденте 2 ноября без указания жертвы, утверждает, что первоначальное молчание позволило отмыть более 30 миллионов долларов. Согласно Cryptoast, ZachXBT также «с высокой степенью уверенности» полагает, что исполнители не связаны с группой Lazarus. Это его оценки, а не выводы властей.
Кто блокирует, а кто нет
В первые часы торможение обеспечили преимущественно биржи, ограничившие задействованные счета. Блокировок непосредственно на блокчейне было немного: по данным Bitquery, Tether заморозил около 1,14 миллиона USDT 2 ноября, тогда как по состоянию на 5 ноября Circle не заблокировал ни один из 1,71 миллиона USDC, остававшихся в отслеживаемых кошельках. Разница между эмитентами подробно разобрана в нашем сравнении USDT и USDC, а полномочия Tether по заморозке средств рассматриваются в материале о тонкой грани между стабильностью и поводами для беспокойства.
Цифры пока не сходятся
Получается, что третий парадокс: пострадавший называет меньшую сумму, чем насчитывают остальные. Банк говорит о примерно 100 миллионах евро, что составляет около 113 миллионов долларов по курсу, которым пользовалось AFP согласно Bitquery. Le Télégramme называл 133 миллиона долларов, то есть 118 миллионов евро. Arkéa в целом принял этот порядок величин, не подтвердив конкретную цифру. ZachXBT начинал со 106 миллионов долларов и поднял планку до более чем 133 миллионов. Bitquery признаёт, что пока не может объяснить расхождение между этими оценками.
Что ещё предстоит доказать
Многое остаётся под вопросом. Полная цепочка между банковскими переводами и on-chain потоками публично не установлена: согласно данным Bitquery, 17 кошельков не атрибутированы конкретным лицам, а связь строится на основе материалов прессы и поведения кошельков. Имя стороннего поставщика, точная дата взлома, способ открытия счетов на биржах, а также заблокированная сумма и её местонахождение по-прежнему неизвестны.
Gaurav Agarwal
Дело Arkéa: коротко о главном
Что подтверждено, а что нет
- Подтверждено: атака через платформу стороннего поставщика, переводы со счёта банка, предварительная оценка ущерба порядка 100 миллионов евро, отсутствие прямого ущерба для клиентов, заявление в полицию и возбуждение расследования в Париже.
- Не раскрыто: название поставщика, дата взлома, окончательная и заблокированная сумма, публичное доказательство связи с 126,04 млн USDC, отслеженными Bitquery.
- Следим за развитием: расследование прокуратуры Парижа, возврат средств, проверка счетов, открытых на фиктивные имена, возможные блокировки со стороны Circle.
Более широкий контекст
На наш взгляд, этот случай переворачивает привычный нарратив. Уязвимость возникла не в блокчейне, а в цепочке поставщиков традиционного банка, а криптоактивы появились позже, уже как инструмент быстрого вывода средств. Зависимость от внешних поставщиков хорошо знакома европейским финансовым институтам, что наглядно показывает ситуация с зависимостью финансов ЕС от иностранного ИИ. Здесь она обернулась вполне измеримыми потерями.
Второй вопрос касается того, кто способен остановить движение денег. Банки давно экспериментируют с блокчейном, включая британские проекты по межбанковским токенизированным депозитам, однако после выхода средств из банковской системы контроль переходит к биржам и эмитентам стейблкоинов. Circle, которая параллельно расширяет присутствие USDC на 40 развивающихся рынках, по состоянию на 5 ноября никаких блокировок не вводила. Расследование продолжается: под наблюдением остаются проверка личности владельцев счетов и доля средств, которая в итоге будет возвращена.
