Die französische Bank Credit Mutuel Arkea verlor bis zu 133 Millionen Dollar bei einem vom Anbieter verursachten Hack, und das Geld wurde über Krypto gewaschen, aber das öffentliche Ledger enthüllte, was die Bank übersehen hatte.
Der Credit-Mutuel-Arkea-Hack: Krypto folgte dem, was die Bank übersah
Credit Mutuel Arkea, eine französische Genossenschaftsbank mit Vermögenswerten von 211,5 Milliarden Euro und 5,8 Millionen Mitgliedern, vermisst rund 100 Millionen Euro (112,6 Millionen Dollar), nachdem die Bank am 5. November einen Hack gemeldet hatte. Der On-Chain-Ermittler ZachXBT (https://x.com/zachxbt) beziffert den Verlust höher, auf bis zu 118 Millionen Euro (133 Millionen Dollar). Wie auch immer: Die Angreifer haben niemals ein Kundenpasswort berührt. Sie traten über einen Drittdienstleister ein, nutzten die Konten der Bank selbst, um Gelder abzubuch en, und verwandelten den Erlös in Krypto. Dann geschah etwas, das die Bankenbranche nicht vorhergesehen hatte: Die öffentliche Blockchain — nicht die eigene Überwachung der Bank — war es, die sie entlarvte.
Seit fünfzehn Jahren haben Banken und ihre Aufsichtsbehörden jeden, der zuhören wollte, belehrt, dass Kryptowährung das bevorzugte Zahlungssystem von Kriminellen ist. Der Hack bei Credit Mutuel Arkea kehrt diese Geschichte um. Die schwache Stelle war das hauseigene Vendor-Netzwerk der Bank, die intransparente, ungeprüfte, private Infrastruktur des Korrespondenzbankgeschäfts. Das, was tatsächlich funktioniert hat, war der "gefährliche" Teil: ein transparentes Ledger, ein pseudonymer Ermittler namens ZachXBT und drei Kryptobörsen, die verknüpfte Gelder binnen Tagen blockiert oder eingefroren haben.
Wesentliche Erkenntnisse
- ZachXBT bezifferte den Verlust auf bis zu 118 Millionen Euro (133 Millionen Dollar); die Bank selbst hat rund 100 Millionen Euro (112,6 Millionen Dollar) als vermisst bestätigt und kann noch nicht sagen, wie viel sie zurückgewinnen wird.
- Das gestohlene Fiat-Geld wurde in Kryptowährung umgewandelt (USDC und USDT in Ether, dann Sofortbörsen, dann Monero), aber Kraken, Crypto.com und OKX blockierten oder frieren verbundene Mittel innerhalb von Tagen ein.
- ZachXBT markierte den Diebstahl am 2. November, bevor die Bank ihn am 5. November öffentlich bekannt gab.
- ZachXBT bewertete dies nicht als Arbeit von Nordkoreas Lazarus-Gruppe, sondern als unabhängigen, hochspezialisierten Cyberkriminalitätsring.
- Die Bank war ironischerweise dabei, eine MiCA-Lizenz zur Veräußerung von Krypto an Privatanleger zu beantragen.
Das große Ganze: Die Geldwäschearterie ist auch die Durchsetzungsarterie
Jede Geldwäschegeschichte hat zwei Gleise: das eine, das Kriminelle nutzen, um Geld zu bewegen, und das andere, das die Strafverfolgung nutzt, um ihm zu folgen. Jahrzehntelang waren diese Gleise dasselbe: das Korrespondenzbankensystem. Scheinfirmen, manipulierter Handelsabrechnung und freundliche Gerichtsbarkeiten ließen Billionen durch Banken fließen, die es entweder nicht sehen konnten oder nicht nachgingen.
Krypto sollte dies verschlimmern. In gewisser Hinsicht tat es das. Die Arkea-Diebe wandelten das Geld in Stablecoins um, tauschten es in Ether, führten es über sofortige Börsen wie WellWallet und Kyrrex, brachten es über Ketten hinweg und parkten einen Teil davon in Monero. Bitquery (https://bitquery.io/), ein Unternehmen für Blockchain-Analysen, verfolgte 108,8 Millionen US-Dollar in USDC, die am 1. und 2. November über etwa 21 Stunden von Kraken-, Crypto.com- und OKX-Konten auf 15 Wallets verlegt wurden, und stellte am darauffolgenden Nachmittag fest, dass noch 78,3 Millionen US-Dollar auf Ethereum lagen.
Hier ist jedoch, was Krypto-Kritiker niemals zugestehen wollten: dasselbe öffentliche Hauptbuch, das den schnellen Geldfluss ermöglichte, machte ihn auch sichtbar. ZachXBT, ein einzelner pseudonymer Ermittler mit Tastatur, meldete die Abhebungen am 2. November, bevor die Bank auch nur ein Wort sagte. Kraken erkannte eingehende Überweisungen als "zu groß und zu schnell für gewöhnliche Vorgänge" und blockierte die noch laufenden. Crypto.com sperrte verknüpfte Konten. OKX sperrte ein Institutionenkonto nach Entdeckung ungewöhnlicher Aktivitäten.
Eine Bank mit 211,5 Milliarden Euro an Vermögenswerten und Tausenden von Mitarbeitern konnte nicht erkennen, wie 112,6 Millionen Dollar über ihre eigenen Konten abflossen. Ein Typ im Internet konnte.
Wer gewinnt und wer verliert
Die Gewinner sind die Compliance-Schicht, für die Krypto jahrelang belächelt wurde. Blockchain-Analytics-Firmen, darunter ZachXBT, Chainalysis, TRM Labs und Bitquery, erhielten gerade ihr bestes Verkaufsargument in einem Jahrzehnt. Kraken, Crypto.com und OKX haben gezeigt, dass der Block- und Freeze-Button – das, was Krypto-Puristen am meisten hassen, – genau das ist, was verhindert, dass gestohlene Gelder verschwinden. Stablecoin-Herausgeber erhalten einen weiteren Datenpunkt: Wenn ein Dieb Geld durch USDC und USDT bewegt, kann der Herausgeber es einfrieren, und nur 3,7 Millionen US-Dollar des nachverfolgten Gesamtbetrags waren am nächsten Tag noch in einfrierbarem USDC. Das ist eine Funktion, die Regulierer lieben, und genau deshalb ist „einfrierbar“ nun ein Verkaufsargument für institutionelle Adoption statt eines Makels für die Dezentralisierung.
Die Verlierer sind die veralteten Annahmen. Banken haben Jahre lang Regulierern eingeredet, ihre Kontrollen seien überlegen. Die eigene Überwachung von Arkea verfehlte die Entwendung; der Vorfall ereignete sich über einen Dienstleister, dessen Plattform so etwas wie die Schlüssel zum Tresor der Bank verwahrte. Die Vertrauensgrenze zwischen einer Bank und ihren Lieferanten wurde gerade zur Angriffsfläche, und gemäß der europäischen Digital-Operational-Resilience-Act-(DORA)-Verordnung, die seit Januar 2025 in Kraft ist, ist dieses Drittanbieter-Risiko nun offiziell das Problem der Bank.
Es gibt einen zweiten Gewinner, den niemand nennt: die Erzählung ‚Krypto ist für Kriminelle'. Sie können Krypto nicht glaubwürdig als Geldwäscheweg bezeichnen, als eine traditionelle Bank und keine Börse und kein DeFi-Protokoll über einen Lieferanten beraubt wurde und Krypto den Prüfungspfad lieferte.
Historischer Kontext: Bangladesh Bank, aber mit öffentlichem Ledger
Das ist schon einmal passiert, und der Vergleich ist lehrreich. 2016 stahlen Angreifer über das SWIFT-Nachrichtensystem 81 Millionen US-Dollar vom Konto der Bangladesh Bank bei der Federal Reserve in New York. Das Geld wurde über Casinos und bares Geld über intransparente Systeme bewegt, die die Spur fast augenblicklich verwischen ließen. Ein Großteil davon wurde nie wiedergefunden.
Der Arkea-Hack ist das Sequel zur Bangladesh-Bank-Affäre von 2026, mit einem entscheidenden Unterschied: Die Ausstiegsrampe war eine öffentliche Blockchain. Während die Diebe von 2016 in Casino-Chips und Geldkurieren verschwanden, rannten die Diebe von 2026 direkt in ein Kontobuch hinein, das alles für immer aufzeichnet. ZachXBT konnte dem Geld folgen, weil es sich nicht vollständig verstecken konnte. Ein Teil ging verloren in Monero und Cross-Chain-Bridges, ungefähr 30 Millionen Dollar wurden gewaschen, bevor die Bank etwas公开te, aber der Punkt ist, dass die gesamte Spur in Echtzeit on-chain nachvollziehbar ist.
Das andere Unterscheidungsmerkmal ist die Ironie. Arkea war reportedly dabei, eine MiCA-Lizenz zu erhalten, um Krypto an Privatanleger zu verkaufen. Eine Bank, die kurz davor war, vom Krypto-Geschäft zu profitieren, wurde über Krypto beraubt und gewaschen. Die Institution, die der Anlageklasse Compliance vorhielt, war diejenige, deren Compliance versagte.
Die Zukunftslinse: Lieferantenrisiko wird zum systemischen Risiko
Hier ist die Richtung, in die sich die Dinge in ein bis drei Jahren entwickeln. Banken hängen nun von einer Handvoll tief integrierter Lieferanten ab: Zahlungsabwicklern, Kernbanking-Anbietern und Managed-Service-Providern. Unternehmen wie Worldline, Fiserv und Temenos sind so tief in die Finanzoperationen eingebunden, dass ein Sicherheitsverstoß bei einem einzigen von ihnen gleichzeitig ein Verstoß bei vielen Banken ist. Arkea schloss Fortuneo, seine Online-Bank, als Einstiegspunkt aus und machte die Plattform eines externen Anbieters verantwortlich. Der Anbieter wurde immer noch nicht genannt. Diese Stille ist selbst die Geschichte: Das System weiß nicht, welcher einzelne Lieferant die systemische Schwachstelle ist, und unter DORA ist jede EU-Bank nun rechtlich für das ICT-Risiko verantwortlich, das sie nicht vollständig kontrolliert.
Erwarten Sie drei Dinge. Erstens eine regulatorische Verschärfung beim Zugriff Dritter: Least-Privilege-Berechtigungen, Zwei-Personen-Prinzip bei neuen Begünstigten und Echtzeit-Kill-Switches für Token von Vendor-APIs. Zweitens steht Privacy-Coins eine Abrechnung bevor: Monero ist jetzt die letzte Station in nahezu jeder Geldwäschekette, und jeder neue Diebstahl macht es zu einem noch größeren Ziel. Drittens und am folgenschwersten verwischt sich die Grenze zwischen "Bankensicherheit" und "Kryptosicherheit". Die Bank wird dieselbe On-Chain-Überwachung übernehmen, die sie früher verlacht hat, denn das Ledger hat sich als der bessere Cop herausgestellt.
Trader's Perspective: Das Kontrahentenrisiko ist die neue Variable
Dies ist keine Preisgeschichte, und sie sollte auch nicht so behandelt werden. Aber sie verändert, wie Sie darüber nachdenken sollten, wo Sie Ihr Geld aufbewahren und mit wem Sie Geschäfte machen. Die Börsen, die schnell gehandelt haben, Kraken, Crypto.com, OKX, haben eben bewiesen, dass sie funktionierende Compliance- und Reaktionsteams haben. Das ist etwas wert, denn das nächste Mal, wenn es zu einem Diebstahl im neunstelligen Bereich kommt, ist der Unterschied zwischen eingefrorenen verknüpften Fonds und dem Verschwinden in Monero, wie schnell Ihre Plattform handeln kann.
Die tiefere Lehre betrifft Vertrauensasymmetrie. Eine Bank mit einem uneinnehmbaren Bilanz und tausenden Compliance-Offizieren konnte nicht verhindern, dass 112,6 Millionen Dollar durch ihre eigene Tür schlichen. Die "too big to fail"-Institution wurde nur durch die Anmelde credentials eines Anbieters geschützt. Währenddessen lieferte die verunglimpfte, "unregulierte" Crypto-Infrastruktur einen öffentlichen Prüfungspfad in Echtzeit. Wenn Sie Geschäftspartner, Banken, Börsen oder Verwahrer einschätzen, lautet die Frage nicht mehr "sind sie reguliert?". Sie lautet: "Können sie nachverfolgen, wohin sich ihr Geld bewegt?“
Schließen
Stellen wir uns also die unbequeme Frage, die die Bankenlobby lieber nicht gestellt wissen will: Wenn eine Bank mit 211 Milliarden Euro über einen vertrauten Anbieter 112,6 Millionen Dollar verlieren kann und ein pseudonymer Forscher über eine öffentliche Blockchain jede Wallet einzeln zurückverfolgen kann — wer ist dann wirklich der Versierte?
Krypto hat die französische Bank nicht bestohlen. Das eigene Leitungssystem der Bank tat es. Krypto schrieb nur den Beleg aus und überreichte ihn den Ermittlern.
FAQ
Wie wurde Credit Mutuel Arkea gehackt? Angreifer drangen in die Plattform eines Drittdienstleisters ein und nutzten dann die Konten der Bank selbst, um betrügerische Überweisungen an andere Banken zu tätigen. Das Geld wurde später in Kryptowährung umgewandelt. Kund:innenkonten wurden nicht kompromittiert.
Wie viel wurde bei Arkea gestohlen? ZachXBT schätzte bis zu 118 Millionen Euro ($133 Millionen). Die Bank bestätigte lediglich die "Größenordnung" von rund 100 Millionen Euro ($112,6 Millionen) und sagte am 5. November, sie arbeite weiterhin an der Rückgewinnung des Geldes, ohne zu sagen, wie viel sie erwartete zurückerhalten. Kraken, Crypto.com und OKX haben verbundene Guthaben blockiert oder eingefroren.
Handelte es sich um das Lazarus-Grupp aus Nordkorea? Nein. ZachXBT bewertete mit hohem Grad an Sicherheit, dass die Geldwäschemuster nicht zum Lazarus-Grupp passen, und verwies stattdessen auf eine unabhängige, gut organisierte Cyberkriminalitätsbande mit Spezialisierung auf Kompromittierungen von Lieferanten.
Welche Krypto-Börsen waren beteiligt? Kraken, Crypto.com und OKX. Berichten zufolge entfiel der Großteil der Abflüsse auf Kraken (ungefähr 95 % des nachverfolgten Gesamtbetrags), der Transfers sperrte; Crypto.com frier verknüpfte Konten ein, und OKX frier ein institutionelles Konto ein.
Was ist die DORA und warum ist sie hier wichtig? Der digitaleuropäische Digital Operational Resilience Act, der seit Januar 2025 in Kraft ist, verpflichtet Finanzunternehmen, für ICT- und Drittanbieterrisiken, einschließlich Verstöße, die über eine Plattform eines Dienstleisters in das Unternehmen gelangen – genau wie im Fall Arkea – verantwortlich zu sein.
DYOR: Crédit Mutuel Arkea (https://www.cm-arkea.com/) · ZachXBT (https://x.com/zachxbt) · Bitquery (https://bitquery.io/) · DORA (EIOPA) (https://www.eiopa.europa.eu/browse/digital-finance/digital-operational-resilience-act-dora_en)