- Crédit Mutuel Arkéa、サイバー攻撃により銀行自身の資金約1億3,300万ドルが盗まれたことを認める
- 攻撃者は盗んだ資金を暗号資産に換え、複数のサービスやブロックチェーンを経由して資金洗浄を行ったとされる
- 同行は顧客資産に影響はないとしており、捜査当局は第三者を経由した侵害の調査を継続中
フランスの大手銀行・金融サービスグループであるCrédit Mutuel Arkéaは、最近サイバー攻撃を受け、約1億3,300万ドルが盗まれたことを認めました。
盗まれた資金は顧客のものではなく、銀行自身の資金だったとみられます。攻撃者は、資金をより簡単に持ち出せるよう、暗号資産に換えていました。
この攻撃を最初に察知したのは、暗号資産アナリスト兼ブロックチェーン不正調査員のZachXBT氏です。同氏は2026年11月2日に警告を発し、「EUのある組織が昨日（11月1日）、複数の中央集権型取引所のアカウントから1億600万ドル以上を失った疑いがある」と述べました。さらに「盗まれたとみられる資金は、不正な攻撃者によってUSDCとUSDTの形で引き出された」としています。
攻撃側も追跡側もブロックチェーンを活用
攻撃者は、法定通貨をさまざまな暗号資産に換えてから送金したようです。ZachXBT氏の説明によると、攻撃者はUSDC（米ドルと価値を連動させたステーブルコイン）を「積極的に」ETH（イーサリアム）へスワップし、WellWalletやKeyrexといった即時交換サービスにトークンを送っていました。資金の一部はWagyuを通じてXMR（Monero）に交換されました。Moneroは匿名性を重視したトークンで、取引の追跡が極めて難しいことで知られています。その後、資金は「複数のチェーンにまたがって」ブリッジされました。
皮肉な話です。ブロックチェーンや暗号資産は、金融犯罪の常套手段とみなされることが多くあります。これに対して、法定通貨を使った不正のほうが桁違いに大きいと擁護する声もあります。しかし、今回の犯人が盗んだドルを暗号資産に換えたという事実は変わりません。
一方で、この攻撃は、公開ブロックチェーン上に現れるまで（少なくとも公には）発覚していませんでした。ZachXBT氏のようなアナリストがそれを確認し、報告できたのです。
翌日、ZachXBT氏は続報を出しました。新たに2,700万ドル以上の引き出しを特定し、被害総額は1億3,300万ドル以上に達したとしています。
同氏は「西欧の大手金融機関が攻撃を受け、現在それが隠蔽されているというのが私の見立てだ」と語りました。さらに「適切なインシデント開示がなかったため、EUの法執行機関なら凍結できたはずの3,000万ドル以上が洗浄されてしまった」と述べ、Crédit Mutuel Arkéaの対応に問題があったとほのめかしました。
ただし、同氏は一連の報告で、標的となった組織の名前には触れていません。Crédit Mutuel Arkéaは11月4日に簡単な声明を発表し、攻撃を受けたものの、その後封じ込めに成功したと説明しました。
声明には「この攻撃を検知した時点で、運用を保護し、これ以上の不正な資金移動を防ぐため、予防措置として一部の取引を一時停止することを決定した」とあります。
声明はこう続けています。「本件はすでに収束しており、現在は制御下にある。グループと子会社が確認作業を行い、セキュリティ強化策を講じたことを受け、午前中から段階的に業務を再開している」
Lazarusの犯行ではない
翌日に公開したFAQで、同社は、攻撃者が「当社のサービスプロバイダーの1社のプラットフォームを経由し、Crédit Mutuel Arkéaに直接到達した」と説明しました。このサービスプロバイダーの名称は明かしていません。ただ、地元メディアで名前が挙がっていたFortuneoについては、関係を否定しました。
攻撃者はArkéa自身の口座を使い、他の金融機関との取引を実行したといいます。同社は、顧客資金は安全で影響を受けていないことを重ねて強調しました。
FAQにはさらに、「すべてのお客様に、本件が資産に影響を及ぼすことはないとお伝えします。一部の送金処理の実行が遅れただけです」と記されています。
同行は、盗まれた金額については確認を避けました。ただ、ZachXBT氏が示した1億3,300万ドルという数字については、「桁数については妥当だと確認できる」と述べています。つまり、おおむね近い見積もりだということです。
現時点で、この攻撃について犯行声明を出した攻撃者はおらず、今後も出てこない可能性が高そうです。ZachXBT氏は、悪名高い北朝鮮のハッカー集団Lazarus Groupの仕業ではないとみています。
