外部事業者経由で侵入、ザックXBTが1億3,300万ドル超の流出を指摘
フランスの銀行グループであるクレディ・ミュチュエル・アルケア（Crédit Mutuel Arkéa）が、サイバー攻撃を受け、攻撃者が同行名義の口座から他の銀行へ不正送金を行ったと11月4日に発表した。
送金された資金は、その後暗号資産（仮想通貨）に交換された可能性があるとのことだ。攻撃はすでに封じ込められ、ほぼすべての業務が再開している。顧客資産への金銭的な影響はなく、流出資金の一部は凍結されており、同行は残る資金の回収と被害額の確定を進めている。
アルケアはフランスの協同組織系銀行グループで、個人向け銀行業務のほか、企業金融や保険、資産運用などを手がけている。約580万人の顧客・組合員を抱え、総資産は2,115億ユーロ（約38兆円）に上る。今回の不正送金には同行自身の口座が利用され、傘下銀行や子会社の顧客口座は経由していない。
アルケアによると、攻撃者は外部サービス提供事業者のプラットフォームを経由して同行のシステムに侵入したという。一方、同行は一部で報じられていた傘下のオンライン銀行フォーチュニオ（Fortuneo）を経由した侵入を否定している。また、内部の人的ミスによるものではなく、外部から実行された高度なサイバー攻撃だと説明した。ただし、悪用された具体的な脆弱性や侵入方法は明らかにされていない。
同行のセキュリティシステムは不審な動きを検知し、追加の不正送金を防ぐために一部の取引を一時停止した。この措置によって一部の送金処理に遅延が生じたものの、同行と傘下企業は安全性の確認とセキュリティ対策の強化を経て、11月4日午前中にほぼすべての業務を再開した。
アルケアの発表に先立ち、オンチェーン調査員のザックXBT（ZachXBT）氏は11月2日、欧州の組織が複数の暗号資産取引所の口座から1億600万ドル（約168億円）超を失った疑いがあると報告した。さらに、翌3日には追加で2,700万ドル（約43億円）超の資金引き出しを確認し、推定流出額を1億3,300万ドル（約210億円）超に引き上げた。その後、日本時間4日に被害組織がアルケアであると指摘した。
一方、アルケアは1億1,800万ユーロ（約210億円）が盗まれたとの情報について、正確な金額は確認できないものの、被害規模の大まかな水準は認めた。最終的な被害額は調査中だが、同行は今回の事件が財務健全性を損なう規模ではないとの見解を示している。
ザックXBT氏の分析によると、攻撃者は米ドルに価値を連動させるステーブルコインのUSDCやUSDTで資金を引き出し、一部をイーサリアムの暗号資産ETHに交換した。また、複数のブロックチェーン間で資金を移動させたほか、暗号資産交換サービスなどを経由して、取引の送金元や送金先、金額を秘匿する仕組みを備えた暗号資産XMRへの交換も行ったとみられる。これらの資金移動は同氏による分析であり、アルケアが公式に確認したものではない。
アルケアは関係する規制・監督当局に事件を報告し、司法・捜査当局と連携して攻撃の発生源や具体的な手口の特定を進めている。また、事件に便乗したフィッシング詐欺への予防的な注意喚起として、顧客に対し、個人情報や銀行口座の認証情報を第三者に提供しないよう呼びかけた。