Eine französische Bank wurde in Euro bestohlen. Der Diebstahl ist jedoch in digitalen Dollar sichtbar.
Am 4. November bestätigte Crédit Mutuel Arkéa einen Cyberangriff: Die Angreifer gelangten über die Plattform eines externen Dienstleisters in das System und nutzten das Unternehmenskonto der Bank, um Überweisungen an andere Banken zu senden. Laut dem Institut könnten diese Transfers dazu genutzt worden sein, Gelder über spezialisierte Plattformen in Krypto-Assets umzuwandeln. Die vorläufige Schätzung liegt laut Bankangaben im Bereich von 100 Millionen Euro; ein Teil der Summe wurde blockiert, Kunden, auch jene von Fortuneo, blieben verschont. Genau hier kreuzen sich der Angriff auf Crédit Mutuel Arkéa und die Krypto-Spur: Bitquery identifizierte laut eigener Untersuchung 126,04 Millionen Dollar in USDC, die von Kraken, Crypto.com und OKX an 17 Wallets abgeflossen sind. Der vollständige Zusammenhang mit dem Schaden der Bank wurde bislang jedoch nicht öffentlich belegt.
Ausgewertet wurden die Pressemitteilung der Bank, die AFP-Meldung über Boursorama, die Bitquery-Untersuchung, Berichte von Ledger Insights und Cryptoast sowie Stellungnahmen der Exchanges. Der Bericht von Reuters war mit unseren Werkzeugen nicht zugänglich; den X-Post des Journalisten Grégory Raymond zitieren wir indirekt über Bitquery.
Der Diebstahl ereignete sich nicht auf der Blockchain
Das erste Paradoxon: Kein einziger privater Schlüssel wurde gestohlen. Laut Bankangaben gelangten die Angreifer über die Plattform eines nicht namentlich genannten externen Dienstleisters in das System. Sie nutzten das Unternehmenskonto der Bank selbst, nicht die Konten der Kunden der Verbundstrukturen oder Tochtergesellschaften. Die Bank schließt menschliches Versagen aus und spricht von einem ausgeklügelten Angriff von außen, der inzwischen eingedämmt wurde. Kein Zugang, betont die Bank ausdrücklich, erfolgte über Fortuneo.
Laut AFP erstattete Arkéa am Mittwoch, dem 4. November, Anzeige bei der Cyberkriminalitätsabteilung der Staatsanwaltschaft Paris. Die Staatsanwaltschaft leitete ein Ermittlungsverfahren wegen unberechtigten Zugriffs auf ein Computersystem durch eine organisierte Gruppe ein und übergab den Fall dem nationalen Cyberkriminalitätsbüro der Polizei. Die Bank versichert, dass die betroffenen Summen ihre Stabilität nicht gefährden: Im ersten Halbjahr, so AFP, verzeichnete Arkéa einen Nettogewinn von 230 Millionen Euro.
Die Spur führt zu Konten auf regulierten Börsen
Das zweite Paradoxon betrifft den gewählten Weg. Laut Grégory Raymond, zitiert von Bitquery, gingen die Überweisungen auf Exchange-Konten ein, die unter falschen Namen eröffnet worden waren. Ledger Insights rekonstruierte die USDC-Abhebungen vom 1. und 2. November: 102 Millionen Dollar von Konten bei Kraken, 5,4 Millionen bei Crypto.com und rund 660.000 Dollar bei OKX. Häufig ging einer Hauptzahlung zwischen 5 und 10 Millionen Dollar eine Testzahlung von 1.000 Dollar voraus. Bitquery kommt laut eigener Analyse auf 126,04 Millionen Dollar, die an 17 Wallets flossen, wobei Kraken rund 95 Prozent ausmacht; ohne die vier indirekt verbundenen Wallets sinkt die Summe auf 95,71 Millionen Dollar.
Kraken erklärte laut Ledger Insights, der Vorfall sei nicht von seiner Plattform ausgegangen; das Unternehmen habe die betroffenen Konten eingeschränkt, arbeite mit den Strafverfolgungsbehörden zusammen und kein Kundenkonto sei kompromittiert worden. Crypto.com und OKX erklärten laut AMBCrypto, verbundene Gelder zu sperren und den Fall zu prüfen. Kraken ist in der Europäischen Union mit einer MiCA-Lizenz tätig, die laut The Block 2025 von der irischen Zentralbank erteilt wurde. Die europäischen Regeln für Anbieter von Krypto-Asset-Diensten sind auch Kern unseres Überblicks zu Betrugsmaschen mit gefälschten Exchanges und Behörden.
Die Gelder bewegen sich schneller als Pressemitteilungen
Konkret: laut Bitquery begann die erste Abhebung bei OKX um 12:25 UTC am Sonntag, dem 1. November; allein in den drei Stunden bis 23:00 UTC flossen rund 73,2 Millionen Dollar ab. Innerhalb von etwa vier Stunden wurden 62,98 Millionen Dollar in Stablecoins über UniswapX in 27.553 ETH getauscht. Danach teilten sich die Gelder auf: Rund 36,09 Millionen Dollar flossen über LI.FI ab, darunter über einen Dienst zur Umwandlung in Monero, dessen Blockchain-Spur nicht sichtbar ist. Weitere 8,14 Millionen Dollar landeten laut TRM auf einer Einzahlungsadresse, die Kyrrex zugeordnet wird. Um 08:47 UTC am 5. November waren noch rund 37,26 Millionen Dollar, also etwa 30 Prozent des Gesamtbetrags, verfolgbar.
Die Bank meldete sich am 4. November, drei Tage nach den ersten von Bitquery verfolgten Abhebungen. ZachXBT, der Ermittler, der den Fall bereits am 2. November ohne Nennung der betroffenen Bank gemeldet hatte, argumentiert, das anfängliche Schweigen habe das Waschen von mehr als 30 Millionen Dollar ermöglicht. Er bewertet laut Cryptoast auch „mit hoher Überzeugung“, dass die Täter keine Verbindung zu Lazarus haben. Dies sind seine persönlichen Einschätzungen, keine Schlussfolgerungen der Behörden.
Wer sperrt und wer nicht
In den ersten Stunden kam der Riegel vor allem von den Exchanges, die betroffene Konten einschränkten. Auf der Blockchain selbst waren Sperrmaßnahmen selten: Tether fror laut Bitquery am 2. November rund 1,14 Millionen USDT ein, während Circle bis zum 5. November keinen der noch in verfolgten Wallets befindlichen 1,71 Millionen USDC gesperrt hatte. Der Unterschied zwischen den Emittenten ist eines der Themen in unserem Vergleich von USDT und USDC; Tethers Einfrierungsbefugnis ist Teil der schmalen Linie zwischen Stabilität und Bedenken, die den Emittenten begleitet.
Die Zahlen passen noch nicht zusammen
Das dritte Paradoxon: Die Opferbank nennt weniger als andere Quellen zählen. Die Bank spricht von rund 100 Millionen Euro, was laut AFP und Bitquery-Recherche umgerechnet rund 113 Millionen Dollar entspricht. Le Télégramme schrieb von 133 Millionen Dollar (118 Millionen Euro). Arkéa akzeptierte diese Größenordnung, bestätigte die konkrete Zahl aber nicht. ZachXBT startete bei 106 Millionen Dollar und korrigierte seinen Schätzwert auf über 133 Millionen nach oben. Bitquery räumt ein, die Differenz zwischen diesen Schätzungen bislang nicht erklären zu können.
Was noch zu beweisen bleibt
Vieles. Der vollständige Zusammenhang zwischen den von der Bank ausgehenden Überweisungen und den On-Chain-Flüssen wurde nicht öffentlich belegt: Bitquery ordnet die 17 Wallets keiner Person zu und stützt die Verbindung auf Presseberichte und das Verhalten der Wallets. Unbekannt sind bislang der Name des externen Dienstleisters, das genaue Datum des Einbruchs, die Art der Kontoeröffnungen bei den Exchanges sowie der gesperrte Betrag und sein Verbleib.
Gaurav Agarwal
Der Fall Arkéa zusammengefasst
Was bestätigt ist und was nicht
- Bestätigt: Angriff über die Plattform eines externen Dienstleisters, Überweisungen vom Bankkonto, vorläufige Schadensschätzung im Bereich von 100 Millionen Euro, Kunden nicht betroffen, Strafanzeige und Ermittlung in Paris.
- Nicht bekannt: Name des Dienstleisters, genaues Datum des Einbruchs, endgültiger und gesperrter Betrag, öffentlicher Beweis des Zusammenhangs mit den von Bitquery verfolgten 126,04 Millionen Dollar in USDC.
- Im Blick behalten: die Ermittlungen der Pariser Staatsanwaltschaft, die Rückholung der Gelder, die Überprüfung der unter falschen Namen eröffneten Konten sowie mögliche Sperrmaßnahmen von Circle.
Die größere Einordnung
Dieser Fall dreht das gewohnte Narrativ um. Nicht die Blockchain hat versagt, sondern die Lieferkette eines traditionellen Kreditinstituts, und Krypto-Assets kamen erst danach ins Spiel, als schneller Ausweg. Die Abhängigkeit von externen Dienstleistern ist ein Thema, das die europäische Finanzbranche kennt, wie der Fall der EU-Finanzbranche mit Abhängigkeit von ausländischen KI-Systemen zeigt, und hier hatte sie einen messbaren Preis.
Der zweite Punkt betrifft die Frage, wer Gelder aufhalten kann. Banken experimentieren seit Längerem mit der Blockchain, wie britische Institute mit tokenisierten Interbankeneinlagen zeigen. Sobald Gelder jedoch das Bankensystem verlassen, liegt die Bremse bei Exchanges und Emittenten. Circle, das parallel dazu USDC in 40 Schwellenländer trägt, hatte bis zum 5. November nichts gesperrt. Im Fokus bleiben: die Ermittlungen, die Identitätsprüfung der Kontoinhaber und der Anteil der Gelder, der letztlich zurückfließen wird.
