Ranskalainen pankkiryhmä myönsi keskiviikkona 4.11.2026 joutuneensa kyberhyökkäyksen kohteeksi. Kyse on samasta tapauksesta, jota lohkoketjututkija ZachXBT oli ehtinyt jäljittää jo kaksi päivää. Crédit Mutuel Arkéa kryptovarkaus on pankin oman alustavan arvion mukaan noin 100 miljoonan euron kokoinen. ZachXBT taas puhuu yli 133 miljoonasta dollarista.
Crédit Mutuel Arkéa kryptovarkaus alkoi pörssinostoista
Ensimmäisen hälytyksen tutkija antoi maanantaina 2.11. Silloin hän kertoi tuntemattoman EU-yhteisön menettäneen edellisenä päivänä yli 106 miljoonaa dollaria useilta pörssitileiltä. Tiistaina hän löysi vielä noin 27 miljoonan dollarin nostot, joten arvio nousi yli 133 miljoonaan. Tapaus osui vain muutaman päivän päähän Binancen 6,3 miljardin dollarin hakkeroinnista.
Analyysiyhtiö Bitquery jäljitti Ethereum-ketjussa 108,8 miljoonaa dollaria USDC-vakaakolikoita. Rahat lähtivät noin 21 tunnin aikana Krakenin, Crypto.comin ja OKX:n tileiltä 15 lompakkoon. Kraken vastasi summasta noin 95 prosenttia eli 102 miljoonaa dollaria, mikä näyttää, miten Crédit Mutuel Arkéa kryptovarkaus kulki pääosin yhden pörssin kautta. Ensimmäinen nosto lähti sunnuntaina 1.11. kello 12.25 UTC, ja kello 23.10 mennessä 98 prosenttia rahoista oli jo liikkeellä.
Sen jälkeen tahti kiihtyi. Bitqueryn mukaan 62,98 miljoonaa dollaria vakaakolikoita vaihtui noin neljässä tunnissa 27 553 ethereumiin UniswapX-protokollan kautta. Myöhemmin osa varoista päätyi Moneroon, joka piilottaa lähettäjän, summan ja vastaanottajan. Tiistaina 3.11. iltapäivällä hyökkääjään liitetyissä osoitteissa oli silti yhä noin 61 miljoonaa dollaria.
Pankki vahvisti hyökkäyksen keskiviikkona
Uhrin nimen ZachXBT julkaisi Telegramissa yöllä tiistaita vasten keskiviikkoa. Muutamaa tuntia myöhemmin Crédit Mutuel Arkéa myönsi hyökkäyksen, joka mahdollisti petolliset tilisiirrot. Pankki ei vahvistanut 133 miljoonan dollarin lukua, mutta suuruusluokan se hyväksyi. Osan rahoista se onnistui pysäyttämään, ja loppujen perintä jatkuu.
Pankin mukaan hyökkääjät pääsivät sisään erään palveluntarjoajan alustan kautta. He käyttivät Arkéan omaa tiliä siirtoihin muihin pankkeihin ja muuttivat rahat sitten kryptoiksi. Juuri tällaisten kolmansien osapuolten riskien vuoksi EU:n digitaalista häiriönsietokykyä koskeva DORA-asetus on velvoittanut pankkeja 17.1.2025 alkaen. Asiakkaiden tileihin tai verkkopankki Fortuneoon isku ei Arkéan mukaan ulottunut.
Kyse ei ole pienestä toimijasta. Arkéaan kuuluvat Crédit Mutuel de Bretagne ja Crédit Mutuel du Sud-Ouest, ja sen pääkonttori sijaitsee Brestin lähellä. Ryhmä on myös valmistautunut tuomaan kryptopalveluita asiakkailleen. Crédit Mutuel Arkéa kryptovarkaus osui siis pankkiin, joka oli itse lähestymässä alaa.
Pariisin syyttäjänviraston kyberrikosyksikkö sai pankin kantelun keskiviikkoaamuna ja aloitti heti esitutkinnan. Asiaa tutkii nyt Ranskan kyberrikostorjunnan virasto OFAC. Asiakkaille isku näkyi lähinnä viivästyneinä tilisiirtoina, ja lähes kaikki toiminnot palasivat normaaleiksi torstaiaamuna. Arkéalla on noin 5,6 miljoonaa asiakasta, ja sen nettotulos oli alkuvuonna 230 miljoonaa euroa.
Crédit Mutuel Arkéa kryptovarkaus ja pörssien jäädytykset
Kraken kertoi rajoittaneensa tapaukseen liittyviä tilejä ja tekevänsä yhteistyötä lainvalvonnan kanssa. Pörssin mukaan kukaan ei murtautunut sen omiin järjestelmiin. Crypto.com puolestaan esti tapaukseen liittyvät varat. OKX sen sijaan sanoi vain selvittävänsä asiaa.
Bitquery huomasi myös, että 11 kohdelompakkoa 15:stä oli saanut maksuja samoilta pörsseiltä jo ennen iskua. Yhtiö pitää tätä merkkinä siitä, että hyökkääjällä oli pääsy uhrin omiin tileihin. Tulkinta on kuitenkin yhtiön oma.
Vakaakolikoiden liikkeeseenlaskijat ehtivät tehdä vähän. Tether jäädytti noin 1,1 miljoonaa USDT:tä. Circle ei kuitenkaan ollut Bitqueryn tiistain tarkistukseen mennessä jäädyttänyt dollariakaan jäljellä olleista 2,53 miljoonasta USDC:stä. Sama vakaakolikko on muuten siirtymässä EBA:n suoraan valvontaan.
Hyökkääjä pesi rahat ethereumin ja Moneron kautta
Hyökkääjä käytti ZachXBT:n mukaan pikavaihtopalveluita ja ketjujen välisiä siltoja. Hänen arvionsa mukaan pesukuvio ei muistuta Pohjois-Korean Lazarus-ryhmää. Siksi tapaus näyttää toistaiseksi erilliseltä Binancen hakkeroinnista. Kukaan ei ole myöskään ottanut iskua nimiinsä.
Lisäksi tutkija arvosteli pankkia hitaasta tiedottamisesta. Hänen mukaansa yli 30 miljoonaa dollaria ehti kulkea pesun läpi, vaikka EU-viranomaiset olisivat nopean ilmoituksen jälkeen voineet jäädyttää ne. Väite on yhä vahvistamaton. Arkéa kertoo ilmoittaneensa asiasta toimivaltaisille valvojille tavallisen menettelyn mukaisesti.
Pankki varoitti samalla asiakkaitaan tietojenkalastelusta. Huijarit käyttävät tällaisia uutisia usein hyväkseen ja soittavat esimerkiksi valepankkivirkailijoina. Sama varoitus pätee Suomessakin, sillä Crédit Mutuel Arkéa kryptovarkaus on nyt laajasti uutisissa.
Crédit Mutuel Arkéa kryptovarkaus ja eri summat
Luvut poikkeavat toisistaan, koska ne mittaavat eri asioita. Bitqueryn 108,8 miljoonaa dollaria kattaa vain Ethereumissa näkyneet USDC-nostot. ZachXBT:n yli 133 miljoonaa sisältää myös myöhemmin löytyneet pörssinostot, ja hän epäilee todellisen summan olevan vielä suurempi. Pankin oma arvio noin 100 miljoonasta eurosta on sekin alustava.
Crédit Mutuel Arkéa kryptovarkaus on siis harvinainen tapaus, jossa rahat lähtivät säännellystä pankista eivätkä kryptopörssistä. Pörssit näkivät rahojen liikkeet vasta siinä vaiheessa, kun ne olivat jo matkalla lohkoketjuun. Juuri tämä kohta kiinnostaa nyt tutkijoita eniten.
Crédit Mutuel Arkéa kryptovarkaus: mitä seuraavaksi?
Tutkinta on vasta alussa, joten summat voivat vielä muuttua. Moni haluaa nyt tietää, kuka palveluntarjoaja oli ja miten hyökkääjät sen alustalle pääsivät. Pitäisikö pankkien mielestäsi kertoa tällaisista hyökkäyksistä julkisesti nopeammin? Jaa ajatuksesi kommenteissa.
