Crédit Mutuel Arkéa bestätigt Cyberangriff – Ermittler meldet Verlust von 133 Millionen Dollar

Die Bank bestätigt den Angriff

Crédit Mutuel Arkéa, die Regionalbank für die Bretagne und andere Teile Westfrankreichs innerhalb der Gruppe Crédit Mutuel, erklärte am Mittwoch, 4. November 2026, sie sei Ziel eines Cyberangriffs gewesen. Durch das Eindringen konnten betrügerische Transaktionen ausgeführt werden, und die Bank erklärt, der Vorfall sei inzwischen unter Kontrolle. Die Höhe des abgeflossenen Betrags hat sie nicht bestätigt. Le Télégramme bezifferte den Schaden auf 133 Millionen Dollar, rund 118 Millionen Euro.

Die Bank hat zudem die französischen und europäischen Regulierungs- und Aufsichtsbehörden informiert und ihren Kunden mitgeteilt, der Vorfall habe für sie keine finanziellen Folgen. In ihrer Erklärung heißt es:

„Dieser Vorfall hat für sie keine finanziellen Folgen.“

Wie der Diebstahl ans Licht kam

Der Hinweis kam von ZachXBT, einem pseudonymen amerikanischen On-Chain-Ermittler, dessen Arbeit zur Krypto-Sicherheit und zur Geldwäsche international anerkannt ist. Am Montag, 2. November, meldete er einen vermuteten Verlust von 106 Millionen Dollar bei einer nicht genannten Einrichtung der Europäischen Union. Am Dienstag, 3. November, berichtete er über weitere Abhebungen von mehr als 27 Millionen Dollar und nannte den Namen der Bank, deren Vermögen er auf rund 235 Milliarden Dollar bezifferte. Zuerst veröffentlichte er diese Angaben auf seinem Telegram-Kanal, später sagte er gegenüber BFM, der Gesamtbetrag könne höher liegen, falls Gelder die Blockchain verlassen hätten.

Der Ermittler erklärte, der Angriff habe mehrere Tage gedauert, und die tatsächlichen Verluste könnten höher sein, wenn Aktivitäten außerhalb der Börsen mitgezählt würden. Zudem sei er mit hoher Sicherheit davon überzeugt, dass der Angreifer nicht mit der nordkoreanischen Lazarus-Gruppe in Verbindung stehe.

Offene Fragen zum Geld

Die Summe von 133 Millionen Dollar ist die Zahl des Ermittlers, die in der Presse aufgegriffen wurde; die Bank hat sie nicht bestätigt. Die Teilbeträge von 106 Millionen und 27 Millionen Dollar wurden an unterschiedlichen Tagen gemeldet, und der Ermittler hat erklärt, der endgültige Betrag könne größer sein. Er vertrat außerdem die Auffassung, die Verzögerung der Bank bei der Alarmierung der Behörden habe es ermöglicht, mehr als 30 Millionen Dollar zu waschen – Gelder, die europäische Behörden hätten einfrieren können.

Vermuteter Verlust, gemeldet am 2. November106

Weitere Abhebungen, gemeldet am 3. November27

Gemeldete Gesamtsumme133

Vermuteter Verlust, gemeldet am 2. November

106 Mio. USD

Weitere Abhebungen, gemeldet am 3. November

27 Mio. USD

Gemeldete Gesamtsumme

133 Mio. USD

Daten aus dem Artikeltext

BFM berichtete, die Gelder seien an Krypto-Börsen geschickt und in Stablecoins umgewandelt worden, nach Angaben des Senders die beiden größten des Marktes. BFM merkte zudem an, Crédit Mutuel Arkéa sei bei Kryptowährungen weniger weit fortgeschritten als andere französische Gruppen. Im Mai beantragte die Gruppe eine europäische MiCA-Zulassung, um Kunden Krypto-Dienstleistungen anbieten zu können; dieses Verfahren schien laut BFM noch offen zu sein.

Was unklar bleibt

Wie das Eindringen erfolgte, ist bislang nicht veröffentlicht. Die Bank hat nicht mitgeteilt, welche Systeme betroffen waren oder wie lange die betrügerischen Transaktionen liefen. Die gemeldeten Zahlen stützen sich vor allem auf die Nachverfolgung des Ermittlers, die die Bank nicht bestätigt hat. Eine bestätigte Summe hat die Bank bislang nicht genannt.