ธนาคาร Credit Mutuel Arkea ของฝรั่งเศสขาดทุนสูงสุด $133M จากแฮกเกอร์ที่โจมตีผ่านผู้ให้บริการ และเงินถูกฟอกผ่านคริปโทเคอร์เรนซี แต่สมุดบัญชีสาธารณะได้เปิดเผยสิ่งที่ธนาคารพลาดไป
การแฮ็กของ Credit Mutuel Arkea: คริปโตตามทันสิ่งที่ธนาคารพลาด
Credit Mutuel Arkea ซึ่งเป็นธนาคารร่วมของฝรั่งเศสที่มีสินทรัพย์ 211.5 พันล้านยูโรและสมาชิก 5.8 ล้านราย กำลังหายไปประมาณ 100 ล้านยูโร (112.6 ล้านดอลลาร์) หลังการแฮ็กที่ธนาคารเปิดเผยเมื่อวันที่ 5 พฤศจิกายน นักวิจัยบล็อกเชน ZachXBT (https://x.com/zachxbt) ประเมินมูลค่าความเสียหายสูงถึง 118 ล้านยูโร (133 ล้านดอลลาร์) ไม่ว่ากรณีใด ผู้โจมตีไม่เคยแตะรหัสผ่านของลูกค้า พวกเขาบุกรุกผ่านผู้ให้บริการบุคคลที่สาม ใช้บัญชีของธนาคารเองเพื่อโอนเงินออก และแปลงรายได้เป็นคริปโต จากนั้นก็เป็นสิ่งที่อุตสาหกรรมการธนาคารคาดไม่ถึง: บล็อกเชนสาธารณะ ไม่ใช่ระบบตรวจสอบของธนาคารเอง ที่ทำให้ถูกจับได้
ตลอดสิบห้าปี ธนาคารและผู้กำกับดูแลได้บอกทุกคนที่ฟังว่าคริปโทเคอร์เรนซีคือระบบชำระเงินที่อาชญากรนิยมใช้ที่สุด การแฮ็ก Credit Mutuel Arkea กลับพลิกเรื่องราวนี้ จุดอ่อนอยู่ที่ไม่ใช่เครือข่ายของผู้จำหน่ายของตนเองของธนาคาร ซึ่งเป็นโครงสร้างพื้นฐานส่วนตัวที่ขาดความโปร่งใสและไม่ถูกตรวจสอบในระบบธนาคารเคออร์แรสปอนเดนท์ ส่วนที่ทำงานได้ดีคือส่วนที่ "อันตราย" นั่นคือบัญชีแยกประเภทแบบโปร่งใส นักสืบนิรนามชื่อ ZachXBT และการแลกเปลี่ยนคริปโทเคอร์เรนซีสามแห่งที่บล็อกหรืออายัดเงินที่เกี่ยวข้องภายในไม่กี่วัน
ข้อคิดสำคัญ
- ZachXBT ประเมินมูลค่าความเสียหายสูงสุดที่ 118 ล้านยูโร (133 ล้านดอลลาร์); ธนาคารเองยืนยันว่ามียอดเงินประมาณ 100 ล้านยูโร (112.6 ล้านดอลลาร์) หายไป และระบุว่ายังไม่สามารถระบุได้ว่าจะสามารถกู้คืนได้มากน้อยเพียงใด
- เงินดอลลาร์ที่ถูกขโมยถูกแปลงเป็นคริปโทเคอร์เรนซี (USDC และ USDT เป็นอีเธอร์ จากนั้นทำธุรกรรมแลกเปลี่ยนทันที และสุดท้ายเป็น Monero) แต่ Kraken, Crypto.com และ OKX ได้ระงับหรืออายัดกองทุนที่เชื่อมโยงกันภายในไม่กี่วัน
- ZachXBT ได้รายงานการขโมยเมื่อวันที่ 2 พฤศจิกายน ก่อนที่ธนาคารจะเปิดเผยต่อสาธารณชนในวันที่ 5 พฤศจิกายน
- ZachXBT ประเมินว่าไม่ใช่กลุ่ม Lazarus ของเกาหลีเหนือ แต่เป็นแก๊งอาชญากรรมไซเบอร์อิสระที่มีความซับซ้อน
- ธนาคารกลับกลายเป็นว่ากำลังยื่นขออนุญาต MiCA เพื่อขายสินทรัพย์ดิจิทัลให้กับลูกค้ารายย่อยอยู่
- ภาพรวมที่ใหญ่ขึ้น: ทางเดินฟอกเงินนั้นยังเป็นทางเดินบังคับใช้กฎหมายด้วย
เรื่องราวการฟอกเงินทุกเรื่องมีสองราง: รางที่ผู้กระทำผิดใช้ในการเคลื่อนย้ายเงิน และรางที่หน่วยงานบังคับใช้กฎหมายใช้ติดตามเงิน ในหลายทศวรรษ รางทั้งสองนี้คือสิ่งเดียวกัน นั่นคือระบบธนาคารคู่ค้า บริษัทเกรน ผู้บิดเบือนมูลค่าการค้า และเขตอำนาจศาลที่เข้ากันได้ง่าย ๆ ทำให้เงินหลายล้านล้านดอลลาร์ไหลเวียนผ่านธนาคารที่มองไม่เห็น หรือไม่ได้มองหา
คริปโตฯ ถูกคาดหวังว่าจะทำให้สถานการณ์แย่ลง ในแง่หนึ่งมันทำให้แย่ลงจริง ผู้ขโมยอาร์เคอาเปลี่ยนเงินเป็นสเตเบิลคอยน์ สลับไปเป็นอีเทอร์ รันผ่านแลกเปลี่ยนทันทีอย่าง WellWallet และ Kyrrex ข้ามห่วงโซ่ และวางเงินส่วนหนึ่งไว้ใน Monero Bitquery (https://bitquery.io/) ซึ่งบริษัทวิเคราะห์บล็อกเชน ติดตามเงิน USDC จำนวน 108.8 ล้านดอลลาร์ที่ออกจากบัญชีของ Kraken Crypto.com และ OKX ไปยัง 15 วอลเล็ต ในช่วงประมาณ 21 ชั่วโมงเมื่อวันที่ 1 และ 2 พฤศจิกายน และพบเงิน 78.3 ล้านดอลลาร์ยังพักอยู่ใน Ethereum ในบ่ายวันถัดไป
แต่ตรงนี้คือสิ่งที่นักวิจารณ์คริปโตไม่เคยอยากยอมรับ: บล็อกเชนแบบเปิดสาธารณะเดียวกันที่ช่วยให้เงินเคลื่อนที่รวดเร็ว ก็เป็นตัวทำให้เงินนั้นโปร่งใส ซาคส์เอ็กซ์บีที นักสืบนิรนามผู้ทำงานคนเดียวพร้อมคีย์บอร์ดหนึ่งตัว แจ้งเตือนการถอนเงินเมื่อวันที่ 2 พฤศจิกายน ก่อนที่ธนาคารจะออกมาพูดแม้แต่คำเดียว คราเคนเห็นการโอนเงินที่ "ใหญ่และรวดเร็วเกินกว่าจะเป็นเรื่องปกติ" จึงปิดกั้นรายการที่ยังเคลื่อนอยู่ โครโตคอมทำการแช่บัญชีก่อนหน้าที่เกี่ยวข้อง ออคซ์ทำการแช่บัญชีเชิงสถาบันหลังพบกิจกรรมผิดปกติ
ธนาคารที่มีสินทรัพย์ 211.5 พันล้านยูโรและพนักงานหลายพันคน ไม่สามารถตรวจจับเงิน 112.6 ล้านดอลลาร์ที่ไหลออกผ่านบัญชีของตัวเองได้ แต่คนธรรมดาบนอินเทอร์เน็ตทำได้
ใครเป็นผู้ชนะและใครเป็นผู้แพ้
ผู้ชนะคือเลเยอร์การทำตามกฎเกณฑ์ (compliance) ในวงการคริปโทฯ ที่ถูกเยาะเย้ยมานานหลายปี บริษัทวิเคราะห์บล็อกเชน รวมถึง ZachXBT, Chainalysis, TRM Labs และ Bitquery เพิ่งได้รับโอกาสในการขายที่ดีที่สุดภายในทศวรรษนี้ Kraken, Crypto.com และ OKX พิสูจน์แล้วว่าปุ่มบล็อกและแช่แข็ง ซึ่งเป็นสิ่งที่นักคตินิรนามสุดขั้ว (crypto purists) เกลียดที่สุด恰恰คือสิ่งที่ป้องกันไม่ให้เงินทุนที่ถูกขโมยหายไป ตัวการออก stablecoin ก็ได้ข้อมูลยืนยันอีกครั้ง: เมื่อโจรโอนเงินผ่าน USDC และ USDT ผู้ให้บริการสามารถแช่แข็งได้ และภายในวันถัดไปเหลือเพียง $3.7 ล้านเท่านั้นจากยอดรวมที่ติดตามได้ที่ยังคงอยู่ใน USDC ที่สามารถแช่แข็งได้ นี่คือฟีเจอร์ที่นักกำกับดูแลชื่นชอบ และนี่คือเหตุผลที่คำว่า "สามารถแช่แข็งได้" กลายเป็นจุดขายสำหรับการนำองค์กรไปใช้ แทนที่จะเป็นคราบเสื่อมเสียต่อแนวคิดแบบกระจายศูนย์
ผู้แพ้คือสมมติฐานเดิม ๆ ธนาคารใช้เวลาหลายปีบอกผู้อำนวยกฎระเบียบว่าระบบควบคุมของตนนั้นเหนือกว่า Arkea เองก็พลาดการตรวจพบการโจรกรรม; การถูกเจาะระบบเกิดขึ้นผ่านผู้ให้บริการซึ่งแพลตฟอร์มของมันถือสิ่งที่เทียบเท่ากับกุญแจสู่เงินฝากของธนาคาร ขอบเขตความไว้วางใจระหว่างธนาคารกับผู้จำหน่ายกลายมาเป็นพื้นที่โจมตี และภายใต้กฎหมายความมั่นคงปลอดภัยทางดิจิทัลสำหรับการดำเนินงานของยุโรป (DORA) ที่มีผลบังคับใช้ตั้งแต่เดือนมกราคม 2025 ความเสี่ยงจากบุคคลที่สามนั้นกลายเป็นปัญหาอย่างเป็นทางการของธนาคารไปแล้ว
มีผู้แพ้ในอันดับที่สองที่ไม่มีใครเอ่ยถึง นั่นคือนิยายเรื่อง "คริปโทคือสำหรับอาชญากร" เอง คุณไม่สามารถอ้างอย่างน่าเชื่อถือว่าคริปโทเป็นช่องทางฟอกเงินได้ เมื่อธนาคารแบบดั้งเดิม — ไม่ใช่กระดานแลกเปลี่ยนและไม่ใช่โปรโตคอล DeFi — กลับเป็นผู้ถูกขโมยผ่านผู้จำหน่าย และคริปโทต่างหากที่เป็นผู้สร้างร่องรอยการตรวจสอบ
บริบททางประวัติศาสตร์: ธนาคารกลางบังกลาเทศ แต่ด้วยบัญชีแยกประเภทสาธารณะ
เหตุการณ์นี้เคยเกิดขึ้นแล้ว และการเปรียบเทียบนี้มีประโยชน์ ใน ปี 2016 ผู้โจมตีใช้ระบบข้อความ SWIFT เพื่อขโมยเงิน $81 ล้าน จากบัญชีของธนาคารกลางบังกลาเทศที่เฟดนิวยอร์ก เงินเหล่านั้นถูกส่งผ่านคาสิโนและเงินสด ซึ่งเป็นช่องทางที่คลุมเครือซึ่งทำลายร่องรอยเกือบจะทันที เงินจำนวนมากไม่เคยถูกกู้คืนกลับมา
การโจรกรรม Arkea คือภาคต่อของ Bangladesh Bank ในปี 2026 โดยมีข้อแตกต่างสำคัญหนึ่งประการ: ทางออกคือบล็อกเชนสาธารณะ ที่ซึ่งขโมยในปี 2016 หลบซ่อนตัวในชิปคาสิโนและคนหามอบเงินสด ขโมยในปี 2026 กลับวิ่งตรงเข้าสู่สมุดบันทึกที่บันทึกละเอียดทุกอย่างไว้อย่างถาวร ZachXBT ติดตามเงินได้เพราะเงินไม่สามารถซ่อนตัวได้อย่างสมบูรณ์ เงินบางส่วนหายสาบสูญไปสู่ Monero และสะพานเชื่อมข้ามเชน โดยประมาณ $30 ล้านถูกล้างก่อนที่ธนาคารจะเปิดเผยข้อมูลอะไรก็ตาม แต่ประเด็นคือความเป็นไปได้ที่จะอ่านได้ทั้งเส้นทางบนเชนแบบเรียลไทม์
อีกสิ่งที่แตกต่างกันคือความirony Arkea reportedly กำลังเตรียมใบอนุญาต MiCA เพื่อขายคริปโตให้กับลูกค้ารายย่อย ธนาคารที่กำลังจะได้กำไรจากคริปโตกลับถูกลักทรัพย์และถูกล้างผ่านคริปโต สถาบันที่ออกมาอบรมสั่งสอนอุตสาหกรรมสินทรัพย์ดังกล่าวเรื่องความสอดคล้องคือสถาบัน whose compliance ล้มเหลว
เลนส์แห่งอนาคต: ความเสี่ยงจากคู่ค้ากลายเป็นความเสี่ยงเชิงระบบ
นี่คือจุดที่เรื่องนี้จะพุ่งไปในอีกหนึ่งถึงสามปีข้างหน้า ธนาคารปัจจุบันพึ่งพาผู้ขายเพียงไม่กี่รายที่ผสานลึกเข้าไปในระบบ: ผู้ประมวลผลชำระเงิน ผู้จัดจำหน่ายระบบธนาคารหลัก ผู้ให้บริการจัดการแบบครบวงจร บริษัทอย่าง Worldline, Fiserv, และ Temenos ล้ำเข้าไปในกระบวนการดำเนินงานทางการเงินลึก настолькоว่า การถูกเจาะระบบของบริษัทใดบริษัทหนึ่ง เท่ากับการถูกเจาะระบบของธนาคารจำนวนมากพร้อมกัน Arkea ได้ตัดข้อสันนิษฐานว่า Fortuneo ธนาคารออนไลน์ของธนาคาร เป็นจุดเข้าโจมตี และโทษว่าเกิดจากแพลตฟอร์มของผู้ให้บริการภายนอก อย่างไรก็ตามยังไม่มีการเปิดเผยชื่อผู้ให้บริการ ความเงียบนี้เองที่เป็นส่วนหนึ่งของเรื่องราว: ระบบไม่รู้ชัดเจนว่าผู้ขายรายใดคือจุดอ่อนที่เป็นอันตรายเชิงระบบ และภายใต้กฎ DORA ธนาคารทุกแห่งในสหภาพยุโรปมีหน้าที่รับผิดตามกฎหมายต่อความเสี่ยงด้าน ICT ที่ตนไม่สามารถควบคุมได้โดยสมบูรณ์
คาดหวังสามเรื่อง ประการแรก การปราบปรามทางกฎระเบียบต่อการเข้าถึงของบุคคลที่สาม: การกำหนดขอบเขตตามสิทธิ์ขั้นต่ำ การตรวจสอบสองชั้นสำหรับผู้อ้างสิทธิ์ใหม่ และการปิดสวิตช์ทันทีบนโทเค็น API ของผู้ขาย ประการที่สอง เหรียญความเป็นส่วนตัวต้องเผชิญกับการตรวจสอบ: Monero เป็นจุดหยุดสุดท้ายในเกือบทุกห่วงโซ่ฟอกเงิน และทุกการโจรกรรมครั้งใหม่ก็ทำให้มันกลายเป็นเป้าหมายที่ใหญ่ขึ้น ประการที่สาม และสำคัญที่สุด เส้นคั่นระหว่าง "ความปลอดภัยของธนาคาร" และ "ความปลอดภัยของคริปโต" จะเลือนหายไป ธนาคารจะนำการตรวจสอบบนเชนที่ใช้เยาะเย้ยมาแล้วมาใช้นั้น เพราะเลดเจอร์กลับกลายเป็นตำรวจที่ดีที่สุด
มุมของผู้ค้า: ความเสี่ยงจากคู่สัญญาคือตัวแปรใหม่
นี่ไม่ใช่เรื่องราวของราคา และไม่ควรได้รับการปฏิบัติเช่นนั้น แต่มันเปลี่ยนแปลงวิธีที่คุณควรคิดเกี่ยวกับการเก็บเงินของคุณไว้ที่ไหนและทำธุรกิจกับใคร เอ็กซ์เชนจ์ที่ขยับตัวเร็ว อย่าง Kraken, Crypto.com และ OKX เพิ่งพิสูจน์ว่าพวกเขามีทีมปฏิบัติตามกฎและทีมตอบโต้ที่ทำงานได้ นั่นมีค่ามาก เพราะในครั้งต่อไปที่เกิดการโจรกรรมเก้าหลัก ความแตกต่างระหว่างการระงับเงินที่เชื่อมโยงได้กับการเฝ้าดูมันหายเข้าไปใน Monero อยู่ที่ความเร็วที่เวทีของคุณจะสามารถกระทำได้
บทเรียนที่ลึกซึ้งกว่านี้คือความไม่สมมาตรของความไว้วางใจ สถาบันธนาคารที่มีงบดุลเป็นป้อมปราการและเจ้าหน้าที่ปฏิบัติตามกฎพันคนไม่สามารถป้องกันไม่ให้ออกไป $112.6 ล้านเดินออกมาจากประตูของตัวเองได้ institution ที่ "ใหญ่เกินจะล้ม" นั้นได้รับการคุ้มครองด้วยไม่มีอะไรนอกจากสิทธิ์ของ vendor ในขณะที่ระบบคริปโตที่มักถูกดูหมิ่นและ "ไม่มีกฎระเบียบ" ก็ผลิตเส้นทางการตรวจสอบสาธารณะแบบเรียลไทม์ หากคุณกำลังประเมินคู่สัญญา ธนาคาร เอ็กซ์เชนจ์ หรือผู้ดูแลทรัพย์ คำถามไม่ใช่ "พวกเขามีการกำกับดูแลหรือไม่" แต่เป็น "พวกเขาสามารถเห็นเงินของตนเองเคลื่อนย้ายได้หรือไม่"
ปิด
ดังนั้น นี่คือคำถามที่ไม่สบายใจที่กลุ่มล็อบบี้ยืนธนาคารไม่อยากให้ถาม: หากธนาคารมูลค่า 211 พันล้านยูโรสามารถสูญเสียเงิน 112.6 ล้านดอลลาร์ผ่านผู้ขายที่พวกเขาไว้วางใจ และนักสืบไร้ชื่อคนหนึ่งบนบล็อกเชนสาธารณะสามารถติดตามได้ทีละกระเป๋าเงิน ใครกันแน่คือผู้ที่ฉลาดเหนือ
Crypto ไม่ได้ขโมยเงินธนาคารฝรั่งเศส ธนาคารต่างหากที่เป็นคนรั่วไหลเอง Crypto แค่ออกใบเสร็จ และส่งให้เจ้าหน้าที่สืบสวน
FAQ
Credit Mutuel Arkea ถูกแฮ็กได้อย่างไร ผู้โจมตีเจาะเข้าไปในระบบของผู้ให้บริการบุคคลที่สาม จากนั้นใช้บัญชีของธนาคารส่งคำสั่งโอนเงินที่ปลอมแปลงไปยังธนาคารอื่น เงินถูกแปลงเป็นสกุลเงินคริปโทในภายหลัง บัญชีของลูกค้าไม่ถูกเข้าถึง
Arkea ถูกล่อออกไปเท่าไหร่? ZachXBT ประเมินว่าสูงถึง 118 ล้านยูโร (133 ล้านดอลลาร์สหรัฐ) ธนาคารยืนยันเฉพาะ "อันดับขนาด" ประมาณ 100 ล้านยูโร (112.6 ล้านดอลลาร์สหรัฐ) และเมื่อวันที่ 5 พฤศจิกายน ระบุว่ายังอยู่ระหว่างการกู้คืนเงิน โดยไม่ได้ระบุจำนวนเงินที่คาดว่าจะได้รับคืน Kraken, Crypto.com และ OKX ได้ระงับหรืออายัดเงินทุนที่เกี่ยวข้องแล้ว
นี่เป็นฝีมือของกลุ่ม Lazarus ของเกาหลีเหนือใช่หรือไม่? ไม่ใช่ ZachXBT ประเมินว่ามีความมั่นใจในระดับสูงว่ารูปแบบการฟอกเงินไม่สอดคล้องกับกลุ่ม Lazarus ชี้ไปที่แก๊งอาชญากรรมไซเบอร์อิสระที่มีความซับซ้อนซึ่งเชี่ยวชาญด้านการกระทำการในนามของผู้ขาย
แพลตฟอร์มคริปโตใดบ้างที่เกี่ยวข้อง? Kraken, Crypto.com และ OKX Kraken reportedly saw the bulk of the outflows (about 95% of the traced total) และบล็อกการเคลื่อนย้ายเงิน; Crypto.com freeze บัญชีที่เชื่อมโยง และ OKX freeze บัญชีองค์กร
DORA คืออะไรและทำไมเรื่องนี้จึงสำคัญ? Digital Operational Resilience Act ของสหภาพยุโรป มีผลบังคับใช้ตั้งแต่เดือนมกราคม 2025 ซึ่งกำหนดให้สถาบันการเงินต้องรับผิดชอบความเสี่ยงด้าน ICT และห่วงโซ่อุปทาน รวมถึงการละเมิดที่เกิดขึ้นผ่านแพลตฟอร์มของผู้ให้บริการ ซึ่งตรงกับเหตุการณ์ในคดี Arkea
DYOR: Credit Mutuel Arkea (https://www.cm-arkea.com/) · ZachXBT (https://x.com/zachxbt) · Bitquery (https://bitquery.io/) · DORA (EIOPA) (https://www.eiopa.europa.eu/browse/dora_en) · ดิจิทัลฟินานซ์/กิจกรรมควบคุมการดำเนินงานดิจิทัลดิจิทัล-finance/digital-operational-resilience-act-dora_en)