De Franse bank Credit Mutuel Arkea verloor tot $133M door een vendor-aangestuurde hack en het geld werd via crypto gewasshen, maar de openbare ledger blootlegde wat de bank gemist had.
De Credit Mutuel Arkea-hack: Crypto volgde wat de bank over het hoofd zag
Credit Mutuel Arkea, een Franse coöperatieve bank met 211,5 miljard euro aan activa en 5,8 miljoen leden, mist ongeveer 100 miljoen euro ($112,6 miljoen) na een hack die de bank op 5 november openbaarde. Ketening Onderzoeker ZachXBT (https://x.com/zachxbt) schatte het verlies hoger, tot wel 118 miljoen euro ($133 miljoen). In elk geval hebben de aanvallen nooit het wachtwoord van een klant aangeroerd. Ze kwamen binnen via een externe dienstverlener, gebruikten de eigen rekeningen van de bank om geld over te maken, en zetten de opbrengst om in crypto. En toen gebeurde er iets waar de bankenindustrie geen rekening mee had gehouden: het is de openbare blockchain, niet de bewaking van de bank zelf, die hen opspoorde.
Zeventien jaar lang hebben banken en hun toezichthouders iedereen die luisterde verteld dat cryptogeld het favoriete betaalmiddel is voor criminelen. De hack op Credit Mutuel Arkea keert dat verhaal om. De zwakke schakel was het eigen leveranciersnetwerk van de bank: de obscure, ongecontroleerde, privégemaakte infrastructuur van correspondentiebankieren. Het deel dat wél werkte, was het "gevaarlijke" deel: een transparante ledger, een pseudonieme onderzoeker met de naam ZachXBT, en drie crypto-beurzen die gekoppelde fondsen binnen dagen blokkeerden of bevroren.
Key Takeaways
- ZachXBT stelde het verlies op tot 118 miljoen euro ($133 miljoen); de bank zelf heeft rond de 100 miljoen euro ($112,6 miljoen) vermist bevestigd en zegt vooralsnog niet te kunnen zeggen hoeveel het zal terugkrijgen.
- Het gestolen fiat werd omgezet in crypto (USDC en USDT naar ether, daarna instant exchanges, vervolgens Monero), maar Kraken, Crypto.com en OKX blokkeerden of vriesden binnen enkele dagen gekoppelde fondsen in.
- ZachXBT signaliseerde de diefstal op 2 november, nog voordat de bank dit op 5 november officieel bekendmaakte.
- ZachXBT beoordeelde dat dit niet de Noord-Koreaanse Lazarus Group was, maar een zelfstandige, geavanceerde cybercriminelenbende.
- De bank was, ironisch genoeg, bezig met een aanvraag voor een MiCA-licentie om crypto aan particuliere klanten te verkopen.
Het Grote Plaatje: De Wasroute Is Ook de Handhavingsroute
Elk geldwitstory heeft twee sporen: het ene dat criminelen gebruiken om geld te verplaatsen, en het andere dat rechtshandhavingsinstanties gebruiken om het te volgen. Décennia lang waren die sporen hetzelfde: het correspondentbankiersysteem. Constructiemaatschappijen, handel met verkeerde factuurwaarden, en bevriende rechtsgebieden zorgden ervoor dat biljoenen door banken spoelden die het konden niet zien of het niet onderzochten.
Crypto zou dit naar verwachting erger maken. In zekere zin deed het dat ook. De Arkea-dieven converteerden het geld naar stablecoins, ruilde het in voor ether, lieten het via directe beurzen als WellWallet en Kyrrex lopen, bruggen het over chains, en parkeerden een deel ervan in Monero. Bitquery (https://bitquery.io/), een blockchain-analyticsbedrijf, traceerde $108,8 miljoen in USDC dat van Kraken-, Crypto.com- en OKX-rekeningen vertrok naar 15 wallets in ongeveer 21 uur op 1 en 2 november, en vond $78,3 miljoen nog steeds op Ethereum de volgende namiddag.
Maar hier is wat crypto's critici nooit wilden toegeven: dezelfde openbare ledger die het geld snel liet verplaatsen, zorgde ook voor de zichtbaarheid. ZachXBT, een eenzame pseudonieme onderzoeker met een toetsenbord, markeerde de opnames op 2 november, nog voordat de bank ook maar iets zei. Kraken zag transacties binnenkomen die "groter en sneller waren dan normaal" en blokkeerde degenen die nog in beweging waren. Crypto.com bevroor gekoppelde accounts. OKX bevroor een institutionele rekening na het signaleren van ongebruikelijke activiteit.
Een bank met 211,5 miljard euro aan activa en duizenden werknemers kon niet zien hoe 112,6 miljoen dollar vertrok via haar eigen rekeningen. Een man op internet kon dat wel.
Wie wint en wie verliest
De winnaars zijn de compliance-laag waar crypto jarenlang om werd uitgelachen. Blockchain-analysebedrijven, waaronder ZachXBT, Chainalysis, TRM Labs en Bitquery, kregen net hun beste verkooppraatje in een decennium. Kraken, Crypto.com en OKX hebben aangetoond dat de block- en freeze-knop, het ding dat crypto-puristen het haten, precies het middel is dat verhindert dat gestolen fondsen verdwijnen. Stablecoin-uitgevers hebben weer een datapunt: wanneer een dief geld via USDC en USDT beweegt, kan de uitgever het bevriezen, en slechts $3,7 miljoen van het getraceerde totaal was de volgende dag nog steeds in vrij te bevriezen USDC. Dat is een functie waar regelgevers dol op zijn, en daarom is "vrij te bevriezen" nu een verkooppunt voor institutionele adoptie in plaats van een vlek op de decentralisatie.
De verliezers zijn de verouderde aannames. Banken hebben jarenlang tegen toezichthouders beweerd dat hun controles superieur zijn. Het eigen monitoringssysteem van Arkea miste de diefstal; de inbraak vond plaats via een dienstverlener wiens platform de sleutels tot de kas van de bank bevatte. De vertrouwensgrens tussen een bank en haar leveranciers is nu het aanvalsoppervlak geworden, en onder de Europese Wet op de Digitale Operationele Veerkracht (DORA), in werking sinds januari 2025, is dat derdenrisico formeel het probleem van de bank.
Er is een tweede-rangsverliezer die niemand noemt: het narratief dat "crypto is voor criminelen". Je kunt crypto niet geloofwaardig de waslijn voor witwassen noemen wanneer een traditionele bank, en geen exchange of DeFi-protocol, de partij was die via een leverancier werd beroofd, en crypto juist de audit trail opleverde.
Historische context: Bangladesh Bank, maar dan met een openbare grootboekrekening
Dit is eerder gebeurd en de vergelijking is leerzaam. In 2016 gebruikten aanvallers het SWIFT-messagesysteem om $81 miljoen te stelen van de rekening van Bangladesh Bank bij de New York Fed. Het geld ging via casino's en contant geld, ondeelige rails die het spoor vrijwel direct vernietigden. Een groot deel werd nooit teruggevonden.
De Arkea-hack is Bangladesh Bank's opvolger van 2026, met één cruciaal verschil: de uitrit was een publieke blockchain. Waar de dieven van 2016 verdwenen in casino-fiches en geldkoeriers, renden de dieven van 2026 rechtstreeks een ledger binnen dat alles voor eeuwig vastlegt. ZachXBT kon het geld volgen omdat het geld zich niet volledig kon verbergen. Een deel ervan verdween wel in Monero en cross-chain-bruggen; ongeveer 30 miljoen dollar werd gewassen voordat de bank iets openbaarde, maar het feit dat de volledige trail real-time op-chain leesbaar is, is het punt.
Het andere aspect dat verschilt, is de ironie. Arkea bereidde zich naar verluidt voor op een MiCA-licentie om crypto aan particuliere klanten te verkopen. Een bank die net van crypto wilde gaan profiteren, werd beroofd en het gestolen geld werd via crypto gewassen. Het instituut dat de activaklasse een lesje in compliance gaf, was degene wier compliance faalde.
The Future Lens: Vendorrisico wordt systeemrisico
Dit is waar dit na één tot drie jaar naartoe gaat. Banken zijn nu afhankelijk van een handvol diep geïntegreerde leveranciers: betalingsverwerkers, leveranciers van kerne banking-software, managed-service providers. Bedrijven zoals Worldline, Fiserv en Temenos zitten zo diep in financiële operaties dat een breach van er één een breach van vele banken tegelijk is. Arkea uitsloot Fortuneo, haar online bank, als instappunt en blaalde op het platform van een externe provider. De provider is nog steeds niet bij naam genoemd. Dat zwijgen is zelf het verhaal: het systeem weet niet welke enkele leverancier de systemische zwakke schakel is, en onder DORA is elke EU-bank nu wettelijk verantwoordelijk voor ICT-risico die het niet volledig beheerst.
Verwacht drie dingen. Allereerst een strengere regulering van derden: least-privilege-scope, dubbele autorisatie voor nieuwe begunstigden en realtime kill switches voor API-tokens van leveranciers. Ten tweede moeten privacycoins een afrekening ondergaan: Monero is nu de laatste tussenstap in bijna elke wasketen, en elke nieuwe diefstal maakt het een groter doelwit. Ten derde, en meest consequent, vervaagt de lijn tussen "bankveiligheid" en "cryptobeveiliging". De bank zal dezelfde monitoring van blockchains overnemen die ze ooit belachelijk maakte, omdat de grootboek bleek de betere opsporingsambtenaar te zijn.
Hoek van de handelaar: tegenpartijrisico is de nieuwe variabele
Dit is geen prijsverhaal en het moet ook niet als zodanig worden behandeld. Maar het verandert hoe je moet denken over waar je je geld bewaart en met wie je zaken doet. De beurzen die snel handelden, Kraken, Crypto.com, OKX, hebben bewezen dat ze functionele compliance- en reactieteams hebben. Dat is iets waard, want de volgende keer dat er een diefstal van negen cijfers plaatsvindt, is het verschil tussen het laten bevriezen van gekoppelde fondsen en het zien verdwijnen ervan in Monero, hoe snel je platform kan handelen.
De diepere les gaat over trust asymmetry. Een bank met een vestingsterkte balans en duizend compliance-medewerkers kon niet voorkomen dat $112.6 miljoen via hun eigen deur wegging. Het instituut dat 'too big to fail' werd genoemd, werd beschermd door niets anders dan de inloggegevens van een leverancier. Ondertussen produceerde het grotendeels bekleefde, 'onregelmatige' crypto-kanaal een openbare audit trail in real time. Als u tegenpartijen inschat, banken, beurzen, custodians: de vraag is niet langer 'zijn ze gereguleerd?' Het is 'kunnen ze zien hoe hun eigen geld beweegt?'
[Sluiten
Dus hier is de ongemakkelijke vraag waar de bankenlobby niet naar vraagt: als een bank van 211 miljard euro $112,6 miljoen kwijtraakt via een vertrouwde leverancier, en een pseudonieme onderzoeker op een openbare blockchain deze wallet voor wallet kan traceren, wie is dan eigenlijk de gesofisticeerde?
Crypto stak de Franse bank niet af. Het eigen riool van de bank deed het. Crypto schreef gewoon de bon en overhandigde die aan de onderzoekers.
FAQ
Hoe werd Credit Mutuel Arkea gehackt? Aanvallers breken een platform van een externe dienstverlener, waarna ze de eigen rekeningen van de bank gebruiken om valse overschrijvingen naar andere banken te sturen. Het geld werd later omgezet in crypto. Rekeningen van klanten werden niet geraakt.
Hoeveel is er van Arkea gestolen? ZachXBT schat dat er maximaal 118 miljoen euro ($133 miljoen) is gestolen. De bank bevestigde slechts de "orde van grootte", rond de 100 miljoen euro ($112,6 miljoen), en zei op 5 november dat het nog werkte aan het terugwinnen van het geld, zonder te zeggen hoeveel het verwacht terug te krijgen. Kraken, Crypto.com en OKX hebben gekoppelde fondsen geblokkeerd of bevroren.
Was dit Noord-Korea's Lazarus Group? Nee. ZachXBT gaf met een hoge mate van zekerheid aan dat de waspatronen niet overeenkomen met de Lazarus Group, en wees in plaats daarvan op een onafhankelijke, geavanceerde cybercriminaliteitsbende die gespecialiseerd is in het compromitteren van leveranciers.
Which crypto exchanges were involved? Kraken, Crypto.com en OKX. Kraken reporteerde de meeste uitstromen (ongeveer 95% van het opspoorbare totaal) en blokkeerde het verplaatsen van fondsen; Crypto.com bevroor gelinkte accounts en OKX bevroor een institutioneel account.
What is DORA and why does it matter here? De EU-wet inzake digitale operationele veerkracht (Digital Operational Resilience Act, DORA), die sinds januari 2025 van kracht is, legt financiële instellingen verantwoordelijk op voor ICT- en derdenrisico's, waaronder inbreuken die via het platform van een dienstverlener binnenkomen, precies zoals in de Arkea-zaak.
DYOR: Crédit Mutuel Arkea (https://www.cm-arkea.com/) · ZachXBT (https://x.com/zachxbt) · Bitquery (https://bitquery.io/) · DORA (EIOPA) (https://www.eiopa.europa.eu/browse/digital-finance/digital-operational-resilience-act-dora_en)