法国银行 Credit Mutuel Arkea 在供应商驱动的黑客攻击中损失高达 1.33 亿美元，资金通过加密货币清洗，但公共账本暴露了银行未能察觉的问题。
法国信贷银行Arkea遭黑客攻击：加密货币市场捕捉到了银行忽视的信号
Credit Mutuel Arkea, 一家拥有 2115 亿欧元资产和 580 万名会员的法国合作银行，在 11 月 5 日披露遭黑客攻击后，大约丢失了 1 亿欧元（1.126 亿美元）。链上调查员 ZachXBT（https://x.com/zachxbt）将损失估得更高，高达 1.18 亿欧元（1.33 亿美元）。无论如何，攻击者从未触碰客户的密码。他们通过第三方服务提供商进入，利用银行自己的账户汇出资金，并将所得变现为加密货币。随后发生了银行业未曾预料到的事：暴露他们的不是银行自身的监控系统，而是公共区块链。
十五年来，银行及其监管机构一直在向任何愿意倾听的人断言，加密货币是犯罪分子的首选支付通道。Credit Mutuel Arkea 黑客事件颠覆了这一叙事。薄弱环节在于银行自身的供应商网络，即代理银行业务中不透明、未经审计、私有的内部管道。真正发挥作用的反而是那个“危险”的部分：一个透明的账本，一位名为 ZachXBT 的匿名调查者，以及三天内封锁或冻结关联资金三家加密交易所。
关键要点
ZachXBT 将损失定为最高 1.18 亿欧元（1.33 亿美元）；银行本身已确认约有 1 亿欧元（1.126 亿美元）失踪，并表示尚无法说明将追回多少。
被盗的法币被转换为加密货币（USDC 和 USDT 先换成以太币，然后进行即时兑换，最后换成门罗币），但 Kraken、Crypto.com 和 OKX 在几天内封锁或冻结了关联资金。
- ZachXBT 于 11 月 2 日揭露了这起盗窃案，早于该银行在 11 月 5 日的公开披露。
- ZachXBT 评估认为，这不是朝鲜的'拉撒路集团'所为，而是一个独立的、高度复杂的犯罪团伙。
- 讽刺的是，这家银行当时正在申请 MiCA 牌照，以便向零售客户销售加密货币。
更大的图景：洗钱通道同时也是执法通道
每个反洗钱故事都有两条轨道：犯罪者用来转移资金的轨道，与执法机构用来追踪资金的轨道。数十年来，这两条轨道本是同一件事，即代理银行体系。空壳公司、贸易发票舞弊和友好的司法管辖区让数万亿美元在银行间流动，而那些银行要么看不见，要么不愿查证。
加密货币本应让情况恶化。在某种意义上，它确实如此了。Arkea 的小偷将资金转换为稳定币，兑换成 ether，通过 WellWallet 和 Kyrrex 等即时交易所流转，跨链桥接，并将部分资金藏入 Monero。区块链分析公司 Bitquery（https://bitquery.io/）追踪到 11 月 1 日和 2 日约 21 小时内，1.088 亿美元的 USDC 从 Kraken、Crypto.com 和 OKX 账户流向 15 个钱包，并发现次日午后仍有 7830 万美元停留在以太坊上。
但这里正是加密资产的批评者始终不愿承认的真相：正是那笔让资金流动迅速的共同账本，使其变得显而易见。匿名的独立调查员 ZachXBT 仅凭键盘，就在 11 月 2 日发出了提现预警，远早于该银行公开表态。Kraken 注意到到账转账“规模过大、速度过快，不像正常交易”，随即冻结了仍在流动的款项。Crypto.com 冻结了关联账户。OKX 在发现异常活动后冻结了一个机构账户。
一家拥有 2,115 亿欧元资产、员工数千人的银行，竟未能察觉 1.126 亿美元正从其自身账户转出。而一个在网上的人却做到了。
谁赢谁输
获胜者是合规层——加密货币花了多年时间嘲笑它。区块链分析公司，包括 ZachXBT、Chainalysis、TRM Labs 和 Bitquery，刚刚迎来了它们十年来最好的推销机会。Kraken、Crypto.com 和 OKX 证明了冻结键这一手段——加密货币原教旨主义者最为反感的东西——恰恰正是阻止被盗资金消失的关键。稳定币发行商获得了另一个数据点：当窃贼通过 USDC 和 USDT 转移资金时，发行商可以冻结它们，而到第二天，被追踪总额中只有 3.7 百万美元仍处于可冻结的 USDC 中。这是监管者喜爱的功能，这也是为什么“可冻结”现在成为机构采用的卖点，而非去中心化的污点。
输家是那些陈旧的假设。银行多年来一直向监管机构保证，自己的风控更胜一筹。Arkea 自己的监控未能发现盗窃案；此次入侵是通过一家服务商发生的，该服务商的平台持有相当于银行金库钥匙的东西。银行与其供应商之间的信任边界如今已成为攻击面，而在自 2025 年 1 月起生效的欧盟《数字运营韧性法案》（DORA）下，第三方风险现已正式成为银行的责任。
还有第二个未被命名的输家："加密货币是为犯罪分子服务的"这一叙事本身。你不可能一边主张加密货币是洗钱通道，一边当传统银行而非交易所或 DeFi 协议是通过供应商被劫掠的一方，而加密货币却提供了审计线索时，还言之凿凿。
历史背景：带有公共账本的孟加拉国中央银行
这种情况以前发生过，而此类比较发人深省。2016年，攻击者利用SWIFT消息系统从孟加拉国中央银行位于纽约联邦储备银行的账户中盗走了8100万美元。这些资金流经赌场和现金——不透明的渠道几乎立刻切断了追踪线索。其中大部分始终未能追回。
Arkea 的入侵是孟加拉国央行 2026 年的续作，但有一个关键不同：逃生通道是一个公有区块链。2016 年的窃贼消失在赌场筹码和现金运送员中，而 2026 年的窃贼则径直跑进了一个永远记录一切的分类账。ZachXBT 能够追踪资金，是因为资金无法完全隐藏。一部分资金确实消失在 Monero 和跨链桥中，在银行披露任何信息之前约有 3000 万美元被洗白，但整条线索可在链上实时阅读才是重点。
另一个不同之处在于讽刺意味。据报道，Arkea 正准备申请 MiCA 牌照以向零售客户出售加密货币。一家即将从加密货币中获利的银行，恰恰被盗并通过加密货币被洗白。那个就合规问题对这个资产类别谆谆教导的机构，恰恰是其合规 failing 的机构。
未来视角：供应商风险演变为系统性风险
这是未来一到三年内的走向。银行如今依赖少数几家深度整合的供应商：支付处理商、核心银行系统供应商、托管服务提供商。Worldline、Fiserv 和 Temenos 等公司的业务已深入金融运营核心，一旦其中任何一家遭入侵，就等于多家银行同时遭入侵。Arkea 排除了其线上银行 Fortuneo 作为入侵入口，并将责任归咎于外部供应商的平台。该供应商至今仍未被点名。这种沉默本身就是故事：整个系统不知道哪一家单一供应商才是系统性薄弱环节，而在 DORA 法规下，每家欧盟银行都对其未完全掌控的 ICT 风险承担法律责任。
预计将发生三件事。第一，监管机构将收紧对第三方访问的限制：最小权限范围、新增受益人的双重授权、以及供应商 API 令牌的实时禁用开关。第二，隐私币将面临清算：Monero 如今几乎是每一条洗钱链的最后一站，而每一次新的抢劫事件都使其成为更大的目标。第三，也是最 consequential 的，"银行安全"与"加密资产安全"之间的界限将消融。银行将采用它曾经嗤之以鼻的链上监控技术，因为这条账本事实证明是更好的执法者。
交易员的视角：交易对手风险已成为新变量
这不是一个价格故事，也不应被当作价格故事来看待。但它改变了你思考资金存放地点和业务合作对象的方式。那些行动迅速的交易所——Kraken、Crypto.com、OKX——刚刚证明它们拥有运转良好的合规和响应团队。这一点很有价值，因为当下一次九位数（即一亿美元级别）的盗窃事件发生时，能否冻结关联资金还是眼睁睁看着它们消失进门罗币（Monero），取决于你的平台能多快采取行动。
更深层的教训在于信任的不对称性。一家拥有堡垒般资产负债表和一千名合规官员的银行，却未能阻止1.126亿美元从自家大门流出。这家“大而不能倒”的机构仅靠供应商的资质得到保护。与此同时，备受诟病的“无监管”加密轨道却在实时生成了公开审计轨迹。如果你在评估交易对手——银行、交易所、托管方——问题不再是“他们是否受监管？”，而是“他们能否看到自己的资金在流动？”
关闭
那么，这里有一个银行业游说团体不愿被问到的不安问题：如果一家拥有 2110 亿欧元资产的银行会通过其信任的供应商损失 1.126 亿美元，而一个匿名调查人员可以在公共区块链上逐笔钱包追踪资金，那么到底谁是真正 sophisticated 的那一方？
加密货币没有抢劫法国银行。是银行自己的管线出了问题。加密货币只是写了收据，然后交给了调查人员。
FAQ
Credit Mutuel Arkea 是如何被黑客入侵的？攻击者入侵了一家第三方服务提供商的平台，然后利用银行自己的账户向其他银行发送虚假电汇。资金随后被转换为加密货币。客户账户未被访问。
Arkea 被盗的金额是多少？ZachXBT 估计高达 1.18 亿欧元（1.33 亿美元）。该行仅确认了"数量级"，约为 1 亿欧元（1.126 亿美元），并于 11 月 5 日表示仍在努力追回资金，但未说明预计可追回多少。Kraken、Crypto.com 和 OKX 已封锁或冻结相关资金。
这是否涉及朝鲜的拉撒路集团？不是。ZachXBT 以高度确信度评估认为，洗钱模式与拉撒路集团不符，并转而指向一个专注于供应商入侵的独立、复杂的网络犯罪团伙。
涉及哪些加密货币交易所？Kraken、Crypto.com 和 OKX。据报道，Kraken 占据了大部分流出量（约占追溯总量的 95%）并阻止了资金转移；Crypto.com 冻结了关联账户，OKX 冻结了一个机构账户。
DORA 是什么，为何与此相关？欧盟的《数字运营弹性法案》(Digital Operational Resilience Act) 自 2025 年 1 月起生效，要求金融机构对信息和通信技术（ICT）及第三方风险负责，包括通过服务提供商平台发生的漏洞，正如 Arkea 案所显示的那样。
DYOR：法国信贷mutuelle arkea（https://www.cm-arkea.com/）· ZachXBT（https://x.com/zachxbt）· Bitquery（https://bitquery.io/）· DORA（EIOPA）（https://www.eiopa.europa.eu/browse/digital-finance/digital-operational-resilience-act-dora_en）