Французский банк Credit Mutuel Arkea потерял до $133M в результате атаки, связанной с поставщиком, а деньги были отмывались через криптовалюты, но публичный реестр выявил то, что не заметил банк.
Взлом Crédit Mutuel Arkea: криптовалюта показала то, что пропустил банк
Кредитно-кооперативный банк Crédit Mutuel Arkea с активами в 211,5 млрд евро и 5,8 млн членов, по данным самого банка, потерял около 100 млн евро ($112,6 млн) в результате взлома, о котором банк сообщил 5 ноября. Криптоаналитик ZachXBT (https://x.com/zachxbt) оценивает потери выше — до 118 млн евро ($133 млн). Так или иначе, злоумышленники никогда не владели паролями клиентов. Они проникли через стороннего поставщика услуг, воспользовались собственными счетами банка для вывода средств и превратили выручку в криптовалюту. Затем произошло кое-что, чего индустрия банкинга не предсказала: именно публичный блокчейн, а не внутренняя система мониторинга самого банка, раскрыл злоумышленников.
В течение пятнадцати лет банки и их регуляторы говорили всем, кто был готов слушать, что криптовалюта — это предпочтительный платёжный канал преступников. Взлом в Credit Mutuel Arkea переворачивает эту историю. Слабым звеном стала собственная сеть вендоров банка — непрозрачная, неаудированная частная инфраструктура коррсчётного банковского обслуживания. Та часть, которая на самом деле сработала, была «опасной»: прозрачный реестр, псевдонимный расследователь по имени ZachXBT и три криптобиржи, заблокировавшие или заморозившие связанные средства в течение нескольких дней.
Ключевые выводы
- ZachXBT оценил потери в размере до 118 миллионов евро ($133 миллионов); сам банк подтвердил пропажу около 100 миллионов евро ($112,6 миллиона) и заявляет, что пока не может назвать сумму, которую ему удастся вернуть.
- Украденные фиатные средства были конвертированы в криптовалюту (USDC и USDT в эфир, затем мгновенные обмены, затем Monero), но Kraken, Crypto.com и OKX заблокировали или заморозили связанные средства в течение нескольких дней.
- ZachXBT сообщил о краже 2 ноября, ещё до того, как банк публично сообщил об этом 5 ноября.
- ZachXBT установил, что это не северо-корейская группа «Лазадрус», а независимое, высокоспециализированное киберпреступное сообщество.
- Ирония в том, что банк в тот момент как раз подавал заявку на получение лицензии MiCA для продажи криптовалюты розничным клиентам.
Более широкий контекст: Среда для отмывания денег — это также среда для правоприменения
В каждой истории о отмывании денег есть две колеи: по которым преступники перемещают средства, и по которым правоохранители их отслеживают. Десятилетиями эти колеи были одним и тем же — системой корреспондентского банковского обслуживания. Теневые компании, завышение и занижение стоимости в торговле, а также дружественные юрисдикции позволяли триллионам «просачиваться» через банки, которые либо не могли этого видеть, либо не смотрели.
Считалось, что криптовалюта ухудшит ситуацию. В некотором смысле так и вышло. Украденные Arkea средства конвертировали в стейблкоины, обменяли на ether, пропустили через моментальные биржи вроде WellWallet и Kyrrex, перевели через мосты между сетями, а часть спрятали в Monero. Bitquery (https://bitquery.io/), аналитическая компания в сфере блокчейна, отследила вывод $108,8 млн в USDC со счетов Kraken, Crypto.com и OKX на 15 кошельков примерно за 21 час 1 и 2 ноября и обнаружила, что $78,3 млн до сих пор лежат на Ethereum в полдень следующего дня.
Однако вот что критики криптовалют не хотели признавать: именно тот же публичный реестр, который позволил деньгам двигаться быстро, сделал их видимыми. ZachXBT, одиночный псевдонимный исследователь с клавиатурой, сообщил о выводах средств 2 ноября, прежде чем банк произнёс хоть слово. Kraken заметил поступления «слишком крупные и слишком быстрые, чтобы быть обычными», и заблокировал ещё идущие переводы. Crypto.com заморозил связанные счета. OKX заморозил институциональный счёт, обнаружив необычную активность.
Банк с активами в 211,5 млрд евро и тысячами сотрудников не смог заметить уход 112,6 млн долларов через собственные счета. А человек из интернета — смог.
Кто побеждает, а кто проигрывает
Победители — это комплаенс-слой, над которым криптоиндустрия высмеивалась долгие годы. Аналитические блокчейн-фирмы, среди которых ZachXBT, Chainalysis, TRM Labs и Bitquery, только что получили лучший коммерческий предложение десятилетия. Kraken, Crypto.com и OKX продемонстрировали, что кнопка «блокировать и замораживать» — та самая, которую больше всего ненавидят крипто-пуристы, — именно то, что не даёт украденным средствам исчезнуть. Эмитентам стейблкоинов получилась ещё одна подтверждённая цифра: когда вор переводит деньги через USDC и USDT, эмитент может их заморозить, и уже на следующий день из общей отслеженной суммы только $3.7 миллиона оставались в свободно замораживаемом USDC. Это функция, которую любят регуляторы, и именно поэтому «возможность заморозки» сейчас является торговым преимуществом для институционального внедрения, а не пятном на децентрализации.
Проигравшими являются устаревшие предпосылки. Банки годами утверждали регуляторам, что их контроль превосходит все остальное. Собственный мониторинг Arkea не заметил кражи; компрометация произошла через поставщика услуг, платформа которого хранила то, что фактически было ключами от казны банка. Граница доверия между банком и его вендорами превратилась в поверхность атаки, а согласно Директиве ЕС об операционной устойчивости в цифровом секторе (DORA), вступившей в силу в январе 2025 года, эта третья сторона — обязанность самого банка.
Вторым проигравшим, о котором никто не говорит, стала сама нарратив «крипто — это для преступников». Невозможно достоверно называть криптику каналом для отмывания, когда ограбили не биржу и не протокол DeFi, а традиционный банк — через поставщика услуг, и именно крипта стала той самой аудиторской тропой.
Исторический контекст: Бангладешский банк, но с публичным реестром
Такое уже случалось, и это сравнение поучительно. В 2016 году злоумышленники использовали систему передачи сообщений SWIFT, чтобы похитить $81 млн со счёта Центрального банка Бангладеш в Федеральном резерве Нью-Йорка. Деньги прошли через казино и наличность, непрозрачные каналы, которые практически мгновенно прервали след. Значительная часть средств так и не была возвращена.
Взлом «Аркеа» стал вторым актом «Банка Бангладеш» 2026 года, и одна важная деталь его отличает: выход осуществлялся через публичный блокчейн. Где воры 2016 года исчезали в казино в обмен на фишки и курьерские поставки наличных, воры 2026 года прямо вывели средства в реестр, фиксирующий всё навсегда. ZachXBT смог отследить деньги, потому что деньги не смогли полностью скрыться. Часть из них всё же исчезла в Monero и межсетевых мостах, примерно $30 млн были отмыты до того, как банк что-либо раскрыл, но суть в том, что вся цепочка читаема в блокчейне в режиме реального времени.
Другое отличие — в иронии. Arkea, как сообщалось, готовил лицензию MiCA для продажи криптовалюты розничным клиентам. Банк, планировавший заработать на криптовалюте, сам был ограблен, а средства были выведены и отмыты через криптовалюту. Учреждение, которое читало лекции об этом активе касательно комплаенса, оказалось тем, где комплаенс дал сбой.
Ско́ро́шно́й визи́ор: риски поставщиков становятся системными рисками
Вот куда это ведёт в течение одного-трёх лет. Банки теперь зависят от горстки глубоко интегрированных поставщиков: процессинговых компаний, поставщиков банковских систем ядра, провайдеров управляемых услуг. Компании вроде Worldline, Fiserv и Temenos находятся так глубоко внутри финансовых операций, что взлом любой из них означает взлом сразу множества банков. Arkea исключила свою онлайн-банк Fortuneo в качестве входной точки и переложила вину на платформу стороннего поставщика. Сам поставщик пока не назван. Это молчание уже само по себе история: система не знает, какой именно отдельный поставщик является системным слабым звеном, а согласно DORA каждый банк ЕС теперь несёт юридическую ответственность за риски ИКТ, которые он полностью не контролирует.
Ждите трех вещей. Во-первых, усиление регуляторного давления на доступ третьих лиц: принцип наименьших привилегий, двухуровневое согласование новых бенефициаров и механизм оперативного отключения API-токенов вендоров. Во-вторых, для приватных монет наступит переломный момент: Monero теперь — последний шаг почти в любой цепочке отмывания, и каждое новое хищение делает ее еще более заметной мишенью. В-третьих, и это самое важное, стирается грань между безопасностью банков и безопасностью криптоиндустрии. Банки перенимут мониторинг блокчейна, который раньше высмеивали, ведь оказалось, что реестр — лучший надзиратель.
Взгляд трейдера: контрагентский риск — новая переменная
Это не история о ценах, и относиться к ней так не следует. Но она меняет представление о том, где вы храните деньги и с кем ведёте дела. Биржи, которые сработали быстро, — Kraken, Crypto.com, OKX, — только что доказали, что у них работают службы комплаенса и реагирования. А это что-то стоит, потому что в следующий раз, когда произойдёт кража на девятизначную сумму, разница между заморозкой потерянных средств и тем, как они растворились в Monero, зависит от того, насколько быстро сможет среагировать ваша платформа.
Более глубокий урок касается асимметрии доверия. Банк с неприступным балансом и тысячами сотрудников по комплаенсу не смог предотвратить выход $112.6 млн через собственную дверь. «Слишком большой, чтобы обанкротиться» институт защищали толькоcredentials вендора. Между тем презираемый «нерегулируемый» криптоканал обеспечил публичный аудиторский след в реальном времени. Если вы оцениваете контрагентов — банки, биржи, кастодианы, — вопрос больше не в том, «регулируются ли они?». Вопрос теперь: «могут ли они видеть движение собственных средств?»
Закрытие
Итак, вот неловкий вопрос, который лобби банков не хочет, чтобы задавали: если банк с активами в 211 миллиардов евро может потерять $112,6 млн через доверенного им вендора, а анонимный расследователь в публичном блокчейне может отследить его кошелёк за кошельком, кто именно здесь является продвинутым?
Криптовалюта не ограбила французский банк. Банковские собственные трубы сделали это. Криптовалюта лишь выписала чек и вручила его расследующим.
FAQ
Как был взломан Crédit Mutuel Arkea? Злоумышленники получили доступ к платформе стороннего провайдера услуг, затем использовали счета самого банка для отправки фиктивных переводов другим банкам. Позже деньги были конвертированы в криптовалюту. Счета клиентов не затрагивались.
Сколько было украдено у Arkea? По оценкам ZachXBT, до 118 миллионов евро ($133 млн). Сам банк подтвердил лишь «порядок величины» — около 100 миллионов евро ($112,6 млн) — и 5 ноября заявил, что всё ещё работает над возвратом средств, не указывая, сколько именно он ожидает вернуть. Kraken, Crypto.com и OKX заблокировали или заморозили связанные средства.
Это была северокорейская группа Lazarus? Нет. ZachXBT с высокой степенью уверенности оценил, что паттерны отмывания не соответствуют группе Lazarus, указав вместо этого на независимую высококвалифицированную преступную группировку, специализирующуюся на взломе поставщиков.
Какие криптобиржи были вовлечены? Kraken, Crypto.com и OKX. Kraken, по сообщениям, увидел основную часть оттока (около 95% от отслеженной суммы) и заблокировал перевод средств; Crypto.com заморозила связанные счета, а OKX заморозила институциональный счет.
Что такое DORA и почему это имеет значение в данном случае? Цифровой акт об операционной устойчивости ЕС, вступивший в силу в январе 2025 года, возлагает на финансовые компании ответственность за риски, связанные с ИТ-системами и третьими сторонами, включая инциденты, проникшие через платформу провайдера услуг, точно как в деле Arkea.
DYOR: Кредитный музей Аркеа (https://www.cm-arkea.com/) · ZachXBT (https://x.com/zachxbt) · Bitquery (https://bitquery.io/) · DORA (EIOPA) (https://www.eiopa.europa.eu/browse/digital-finance/digital-operational-resilience-act-dora_en)