De roof bij Crédit Mutuel Arkéa: hoe 133 miljoen dollar via een dienstverlener weglekte en stablecoins en Monero werd
Crédit Mutuel Arkéa, een Franse coöperatieve bankgroep met 5,8 miljoen leden en 211,5 miljard euro aan activa, heeft bevestigd dat een indringer via het platform van een dienstverlener in zijn systemen kwam en de eigen zakelijke rekening van de bank gebruikte om ongeveer 118 miljoen euro, omgerekend circa 133 miljoen dollar, naar rekeningen bij andere banken over te maken. De bank maakte het incident op 4 november 2026 bekend en weigert het bedrag te bevestigen.
Wat de bank wel en niet bevestigt
In verklaringen die Franse media en BleepingComputer aanhaalden, sprak Arkéa van een geraffineerde aanval en zei dat de indringer rechtstreeks via het platform van een dienstverlener binnenkwam. De bank sloot Fortuneo, haar eigen onlinebank, uitdrukkelijk uit als toegangspunt, en sloot menselijke fouten van medewerkers uit. Ze stelde dat de overschrijvingen van de rekening van Arkéa zelf kwamen en niet van klantrekeningen, en dat klantvermogen onaangetast bleef. Enkele overschrijvingen liepen vertraging op terwijl de bank bepaalde transacties uit voorzorg opschortte. Wat ze niet deed, is het bedrag bevestigen. Gevraagd naar de schatting van 133 miljoen dollar zei ze tegen BleepingComputer dat ze die informatie niet bevestigt en alleen de orde van grootte kan onderschrijven. Die terughoudendheid is het onthouden waard: het bedrag is een reconstructie van een onderzoeker op basis van on-chain data, niet een cijfer dat het slachtoffer heeft goedgekeurd. „Wij bevestigen deze informatie niet en kunnen alleen de orde van grootte onderschrijven." Crédit Mutuel Arkéa, geciteerd door BleepingComputer
Hoe een bankoverschrijving een stablecoin wordt
De tot nu toe gemelde mechaniek is weinig glamoureus. Volgens het werk van Grégory Raymond en anderen, samengevat door ZATAZ, liepen de frauduleuze overschrijvingen over meerdere dagen in plaats van in één klap, en werden de begunstigdenamen op de overschrijvingen zo gekozen dat ze overeenkwamen met de namen op de ontvangende rekeningen. Van daaruit werd het geld opgenomen als USDC en USDT, de twee grootste op de dollar gebaseerde stablecoins, op rekeningen bij gecentraliseerde beurzen. IT for Business meldt, met verwijzing naar datafirma Bitquery, dat in ongeveer twintig uur op 1 en 2 november 108,8 miljoen dollar aan USDC van rekeningen bij Kraken, Crypto.com en OKX verdween, verdeeld over 15 afzonderlijke wallets. Waarom de beursrekening de flessenhals is
Dit is het deel van het verhaal waar het de moeite loont bij stil te staan. Een bankoverschrijving kan via de correspondentketen worden teruggeroepen, betwist en teruggedraaid; een stablecoin-overboeking niet. Maar een stablecoin op een gereguleerde beurs is evenmin anoniem, en daarom waren de rekeningen zelf naar verluidt het probleem dat de fraudeurs eerst moesten oplossen. De berichten beschrijven ze als vooraf geopend met vervalste identiteiten die goed genoeg waren om de cliëntenonderzoek-controles te doorstaan, waarbij de begunstigdenamen op de overschrijvingen werden aangepast aan de namen van de rekeninghouders zodat de verzendende bank ze zou accepteren. IT for Business voegt toe dat de rekeningen rechtstreeks onder valse identiteiten lijken te zijn geopend in plaats van overgenomen van echte klanten, en dat elf van de 15 bestemmingswallets eerder al geld van dezelfde beurzen hadden ontvangen, soms maanden daarvoor. Als dat standhoudt, beschrijft het voorbereiding en geen improvisatie: beursrekeningen en walletinfrastructuur klaarstaan voordat de eerste overschrijving de bank verliet. Zevenentwintigduizend ether, dan Monero
In de nacht van 1 op 2 november werd ongeveer 63 miljoen dollar aan stablecoins omgewisseld in 27.553 ETH via UniswapX, een gedecentraliseerd handelsprotocol. De keuze is praktisch. Emittenten van stablecoins kunnen saldo's op contractniveau bevriezen als ze daarom gevraagd worden; ether heeft geen emittent om aan te vragen. De omwisseling was bovendien in minder dan vier uur rond, volgens dezelfde berichten, wat sneller is dan een gerechtelijk bevel. De rest werd verdeeld over adressen, tussen blockchains verplaatst via bridges en door instant-swapdiensten geleid die in de berichten WellWallet en Kyrrex heten, voordat een deel via een dienst genaamd Wagyu in Monero werd omgezet. Monero verbergt standaard afzender, ontvanger en bedrag, waardoor het spoor bij die grens feitelijk ophoudt. Dat is tegenwoordig de gebruikelijke eindtoestand van grote cryptodiefstallen, en daarom wegen de uren direct na een diefstal zwaarder dan de weken erna. Hoe een bevriezing er in de praktijk uitziet
Kraken zei de gekoppelde rekeningen in de nacht van maandag 2 op dinsdag 3 november te hebben beperkt en dat de eigen systemen niet waren gecompromitteerd. Crypto.com zei de bijbehorende fondsen te hebben geblokkeerd, en OKX onderzocht de zaak nog op het moment van de berichtgeving. ZachXBT heeft betoogd dat trage melding aan beurzen en autoriteiten het mogelijk maakte meer dan 30 miljoen dollar wit te wassen dat anders op tijd had kunnen worden onderschept. Een bevriezing is geen teruggave. Het is een blokkade op een saldo terwijl over het eigendom wordt gestreden, en vrijgave hangt af van een juridische procedure, van de voorwaarden van de beurs en van het aantonen welke claimant de munten toebehoren. De bank zei dat het incident nu gesloten en onder controle is, wat haar eigen indamming beschrijft, niet het lot van het geld. Wat het dossier niet vaststelt
Er zijn geen aanhoudingen gemeld. Noch de indringers noch de dienstverlener zijn publiek geïdentificeerd, en de bank gaf geen technische details over hoe het platform werd gebruikt. De toeschrijving ligt open: ZachXBT zei er sterk van overtuigd te zijn dat het niet de Lazarus-groep was, terwijl een andere, uitdrukkelijk onbewezen berichtgeving wijst op Franstalige netwerken die historisch met president-fraude werden geassocieerd. Numerama merkt op dat de methode zelf onbekend blijft. Het toegangspunt is het minst bevredigende deel van het verhaal. Een indringer binnen het platform van een dienstverlener is een toeleveringsketen-beschrijving, en die roept de vraag op die elke uitbestede bankfunctie oproept: welke inloggegevens de dienstverlener had, en of de bank kon zien dat ze werden gebruikt. Arkéa zegt samen te werken met justitiële autoriteiten. Op basis van het tot nu toe gepubliceerde bewijs zijn de overschrijvingen, de omwisselingen en de bevriezingen gedocumenteerd; de inbraak niet. Voor een verwante blik op hoe transactieanalyse in een rechtszaal wordt getest in plaats van in een blogpost, zie ons verslag van het Bitcoin Fog-proces.
