フランスの銀行がユーロで盗まれた。だが、被害はデジタルドルで可視化されている。
11月4日、Crédit Mutuel Arkéaはサイバー攻撃の発生を正式に確認した。攻撃者は外部ベンダーのプラットフォームを経由して侵入し、銀行自身の口座を利用して他行宛ての送金を実行した。同行の発表によると、これらの送金により、専門プラットフォームを通じて資金が暗号資産に変換された可能性があるという。暫定的な被害額は約1億ユーロとされており、一部は凍結済み。Fortuneoを含む顧客への直接被害はないとされる。Crédit Mutuel Arkéaへの攻撃と暗号資産への資金経路が交差する点として、Bitqueryは17のウォレットに対してKraken、Crypto.com、OKXから1億2,604万ドル相当のUSDCが流出したと報告しているが、銀行の損失との完全な因果関係は公式には証明されていない。
本稿では、同行の公式声明、AFPの配信記事（Boursoramaが転載）、Bitqueryの調査レポート、Ledger Insights、Cryptoastの報道、および各取引所の声明を参照した。Reuters の記事は取得できなかったため、ジャーナリストのGrégory RaymondによるXへの投稿はBitquery経由で引用している。
盗難はブロックチェーン上で起きたわけではない
最初の逆説として、秘密鍵は一切盗まれていない。同行の説明によれば、攻撃者は名前を明かされていない外部ベンダーのプラットフォームを経由してArkéaに侵入した。利用されたのは銀行の法人口座であり、連合加盟行や子会社の顧客口座ではない。同行は人為的ミスを否定し、外部からの高度な攻撃が原因だとしており、現在は封じ込め済みとしている。Fortuneoからの不正侵入はなかったと明言している。
AFPの報道によると、Arkéaは11月4日（水）にパリ検察庁のサイバー犯罪部門へ告訴状を提出した。検察は組織的犯罪によるコンピューターシステムへの不正アクセス容疑で捜査を開始し、警察のサイバー犯罪対策局（OFAC）に事件を移管した。AFPは、同行が今回の損失が財務健全性に影響しないと強調しており、2025年上半期の純利益は2億3,000万ユーロに達したと記録している。
資金の追跡先は規制された取引所の口座
むしろ第二の逆説は、犯行者が選んだルートにある。Bitqueryが引用したGrégory Raymondによると、送金は偽名で開設された取引所口座へと流れ込んだ。Ledger Insightsが再構成した11月1日と2日のUSDC引き出し記録によれば、Krakenの口座から1億200万ドル、Crypto.comから540万ドル、OKXから約66万ドルが引き出されている。多くの場合、本送金の前に1,000ドルの試験送金が行われており、1回あたりの送金額は500万から1,000万ドルだったとされる。Bitqueryのデータによると17のウォレットへの合計は1億2,604万ドルに達し、そのうち約95%がKrakenに集中していた。間接的に関連する4ウォレットを除くと合計は9,571万ドルに下がる。
Ledger Insightsによると、Krakenは今回のインシデントが自社プラットフォームを起点としたものではないと主張し、関連口座を制限するとともに当局に協力していると述べた。顧客口座への不正アクセスはなかったとも説明している。AMBCryptoによれば、Crypto.comとOKXも関連する資金を凍結し、調査に協力していると表明した。The Blockの報道によると、Krakenは2025年にアイルランド中央銀行からMiCAライセンスを取得してEU域内で営業している。欧州の暗号資産サービスプロバイダーに関する規制については、当メディアのフィッシング詐欺と偽装取引所に関する解説も参照されたい。
資金は公式声明より速く動いた
実は、Bitqueryのデータによると、最初の引き出しは11月1日（日）UTC12時25分にOKXから行われ、同日23時までの約3時間で約7,320万ドルが流出した。その後、約4時間でUniswapXを通じて6,298万ドル相当のステーブルコインが2万7,553ETHへと変換された。その後、資金は分散した。約3,609万ドルがLI.FIを経由し、その一部はMoneroへの変換サービスを通じてブロックチェーン上の追跡が不可能になった。さらに814万ドルは、TRMがKyrrexと関連付けたデポジットアドレスへ送金された。11月5日UTC08時47分時点で追跡可能だった残高は約3,726万ドルで、流出総額の30%に相当する。
同行が最初に声明を発表したのは11月4日であり、Bitqueryが記録した最初の引き出しから3日が経過していた。調査員のZachXBTは、11月2日の時点で被害者名を伏せてこの事件を最初に指摘しており、当初の沈黙によって3,000万ドル超のマネーロンダリングが可能になったと主張している。Cryptoastによると、ZachXBTは「高い確度」でLazarusグループとの関与を否定しているが、これはあくまで同氏の見解であり、捜査当局の公式な結論ではない。
凍結した者と凍結しなかった者
発覚直後の段階では、ブレーキをかけたのは主に各取引所だった。取引所は関連口座を制限する措置を取った。ブロックチェーン上での対応は限定的で、TetherはBitqueryによると11月2日に約114万USDTを凍結した一方、11月5日時点でCircleはトレース済みウォレットに残る171万USDCを凍結していなかった。ステーブルコイン発行体間のこうした対応の差は、当メディアのUSDTとUSDCの比較記事でも論点の一つとして取り上げており、Tetherの凍結権限については安定性と懸念の間の細い線に関する解説で詳述している。
数字はまだ一致していない
言い換えると、第三の逆説は、被害者側が他の情報源よりも少ない金額を発表している点にある。銀行は約1億ユーロ（AFPがBitqueryのデータをもとに換算した約1億1,300万ドル相当）と述べた。Le Télégrammeは1億3,300万ドル（1億1,800万ユーロ）と報じており、ArkéaはこのオーダーOFマグニチュードを否定せずも具体的な数字は確認していない。ZachXBTは当初1億600万ドルとしていたが、後に1億3,300万ドル超に引き上げた。Bitqueryは現時点でも、これらの推計値の差を説明しきれていないことを認めている。
まだ証明されていないこと
言い換えると、残る疑問は多い。銀行から発生した送金とオンチェーンの資金フローとの完全な連鎖は、公開情報としてはまだ実証されていない。Bitqueryは17のウォレットをいかなる主体にも帰属させておらず、その関連付けは報道内容とウォレットの挙動に基づくものにとどまる。外部サービスプロバイダーの名称、侵害の正確な日時、取引所でのアカウント開設の手口、凍結済み資産の金額と所在地のいずれも、現時点では不明のままだ。
Gaurav Agarwal
Arkéa事件の概要
確認済みの事実と未確認の事実
- 確認済み: 外部プロバイダーのプラットフォームを経由した攻撃、銀行口座からの送金、暫定被害額は約1億ユーロ規模、顧客への直接的な被害なし、パリ当局への届け出と捜査開始。
- 未開示: プロバイダー名、侵害の正確な日時、最終的な被害総額と凍結額、BItqueryが追跡した1億2,604万ドル相当のUSDCとの公式な関連証拠。
- 今後の注目点: パリ検察による捜査の進展、資金回収の状況、偽名で開設されたアカウントの調査、Circleによる凍結措置の有無。
より大きな視点から読む
本稿の見解として、このケースは従来の語られ方を逆転させる。ブロックチェーン側が破られたのではなく、伝統的な銀行の外部サプライチェーンが突破口となり、暗号資産はその後の出口として利用されたにすぎない。外部プロバイダーへの依存リスクは欧州金融界がすでに抱える課題であり、EU金融が外国製AIに依存している問題と同じ構造だ。今回はその代償が数値として示された形になる。
もう一点は、誰が資金を止められるかという問題だ。英国の銀行が銀行間トークン化預金を試験的に導入するなど、各行がブロックチェーン活用を模索している一方で、資金が銀行システムの外に出た瞬間、制御は取引所とステーブルコイン発行体へと移る。USDCを40の新興市場に展開するCircleは、11月5日時点で何も凍結していなかった。今後は捜査の進展、口座名義人の本人確認調査、そして最終的に回収される資金の割合に注目する必要がある。
