Nach Hinweis von ZachXBT: Französische Bank bestätigt Cyberangriff

Angreifer nutzten das Konto der Bank selbst

Arkéa äußerte sich am 4. November zweimal. In ihrer ersten Mitteilung um 13 Uhr meldete die Bank einen Angriff, der betrügerische Transaktionen ermöglicht habe. Vorsorglich habe sie einige Transaktionen ausgesetzt, um weitere betrügerische Bewegungen zu verhindern.

Später beantwortete die Bank in einer zweiten Mitteilung Fragen von Journalisten. Demnach nutzten die Angreifer das eigene Konto von Crédit Mutuel Arkéa für Transaktionen an andere Banken. Diese hätten es ihnen „potenziell“ ermöglicht, das Geld über spezialisierte Plattformen in Kryptowährungen umzutauschen. Konten von Kunden seien nicht betroffen gewesen.

Eingedrungen seien die Täter über die Plattform eines Dienstleisters. Berichte, wonach der Angriff über die Onlinebank Fortuneo lief, eine Tochter der Gruppe, wies Arkéa zurück. Einen menschlichen Fehler in den eigenen Reihen schließt die Bank aus. Es handle sich um einen ausgeklügelten Angriff von außen, der inzwischen eingedämmt sei. Mit Justiz und Polizei arbeite man daran, Herkunft und Vorgehen der Angreifer aufzuklären.

Für Kunden habe der Vorfall keine Folgen für ihre Guthaben, einige Überweisungen seien lediglich verspätet ausgeführt worden. Fast alle Vorgänge liefen seit dem Vormittag des 4. November wieder. Zugleich warnt Arkéa vor Phishing-Versuchen, die nach solchen Angriffen häufig zunähmen.

Arkéa bestätigt nur die Größenordnung

Auf die Frage, ob 118 Millionen Euro gestohlen wurden, antwortete die Bank: „Wir bestätigen diese Informationen nicht und können lediglich die Größenordnung bestätigen.“ Ein Teil der betroffenen Gelder habe blockiert werden können, weitere Schritte zur Rückholung liefen. Für einen endgültigen Betrag sei es noch zu früh. Die Summen gefährdeten aber „in keiner Weise“ die finanzielle Gesundheit und Solidität der Bank.

Zu Crédit Mutuel Arkéa gehören die Genossenschaftsverbände Crédit Mutuel de Bretagne und Crédit Mutuel du Sud-Ouest sowie rund 40 Tochterunternehmen. Die Gruppe beschäftigt 12.073 Menschen und weist eine Bilanzsumme von 211,5 Milliarden Euro aus. Ein Schaden von 118 Millionen Euro entspräche weniger als 0,1 Prozent davon.

Der Blockchain-Ermittler ZachXBT hatte am 2. November vor dem Verlust von mehr als 106 Millionen Dollar (rund 94,1 Millionen Euro) gewarnt, ohne das Opfer zu nennen. Danach erhöhte er seine Schätzung auf mehr als 133 Millionen Dollar (rund 118,1 Millionen Euro). Als Opfer vermutete er in seinem Telegram-Kanal ein großes Finanzinstitut in Westeuropa. In der Nacht auf den 4. November, Stunden vor der ersten Mitteilung der Bank, legte er nach.

„Das EU-Finanzinstitut, bei dem mehr als 133 Millionen Dollar erbeutet wurden, ist mutmaßlich Credit Mutuel Arkea, eine französische Bank mit Vermögenswerten von 235 Milliarden Dollar“,

schrieb ZachXBT in seinem zweiten Update. Der Angriff auf die Bank habe sich über mehrere Tage hingezogen. Er vermute, dass die gestohlene Summe höher sei, wenn man außerbörsliche Geschäfte (OTC) einrechne.

Was die Blockchain zeigt und was nicht

Ob die Kryptowährungen, die Analysten seit dem 2. November verfolgen, von Arkéa stammen, ist nicht belegt. Das Analyseunternehmen Bitquery, das seine Untersuchung am 4. November auf den neuesten Stand gebracht hat, sieht nur die Blockchain. Bankkonten und Börsenkonten seien nicht einsehbar, wie das Geld entwendet wurde, lasse sich daher nicht bestätigen. Bitquery zufolge flossen am 1. und 2. November binnen 21 Stunden 108,8 Millionen Dollar (rund 96,6 Millionen Euro) in USDC von Konten bei Kraken, Crypto.com und OKX an 15 Wallets. Elf davon hatten schon vor dem 1. November Auszahlungen von denselben Börsen erhalten, zwei bereits seit Mai. Fast der gesamte Betrag kam über Konten bei Kraken.

Nach dem Stand der Analyse vom 4. November um 10:49 Uhr MEZ lagen noch 42,59 Millionen Dollar (rund 37,8 Millionen Euro) in Adressen, die Bitquery dem Urheber der Abhebungen zuordnet, überwiegend in Ether. Der größte einzelne Abflussweg war bis dahin der Brücken- und Tauschdienst LI.FI mit 22,26 Millionen Dollar (rund 19,8 Millionen Euro), davon 13,5 Millionen Dollar (rund 12 Millionen Euro) erst seit dem Nachmittag des 3. November. Tether hatte am 3. November um 0:10 Uhr MEZ 1,14 Millionen USDT (rund 1 Million Euro) eingefroren. Circle hatte zum Zeitpunkt der Analyse keine der verbliebenen 1,71 Millionen USDC (rund 1,5 Millionen Euro) gesperrt.

Auch die Summe hängt von der Abgrenzung ab. Zwei der 15 Wallets hängen nur über Zwischenstationen mit dem Urheber der Abhebungen zusammen. Ohne sie läge die Summe bei 95,71 Millionen Dollar (rund 85 Millionen Euro). Ethereum hat Bitquery vollständig ausgewertet, auf fünf weiteren Blockchains nur Zahlungen der Börsen an die 15 Adressen.

Meldepflichten für Banken in der EU

Nach eigenen Angaben informierte Arkéa gleich nach der Entdeckung die zuständigen Stellen und die Aufsicht. Für Banken in der EU gilt seit dem 17. Januar 2025 die Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA). Nach Artikel 19 der Verordnung melden Finanzunternehmen schwerwiegende Vorfälle in der Informations- und Kommunikationstechnik (IKT) der zuständigen Behörde, in Deutschland der Bafin. Hat ein solcher Vorfall Auswirkungen auf die finanziellen Interessen von Kunden, unterrichten die Unternehmen diese „unverzüglich“. Ob Arkéa den Angriff als solchen Vorfall gemeldet hat, geht aus den Mitteilungen nicht hervor.