一家法国银行以欧元形式遭遇盗窃，但损失却以数字美元的形式显现出来。
11月4日，Crédit Mutuel Arkéa正式确认遭受网络攻击：攻击者通过一家外部供应商的平台入侵系统，利用银行自身账户向其他银行发送转账。Crédit Mutuel Arkéa网络攻击与加密货币资金追踪是当前事件的核心焦点：银行方面表示，这些转账可能被用于通过专业平台将资金转换为加密资产。初步估计损失约为1亿欧元，部分资金已被冻结，包括Fortuneo客户在内的所有储户均未受波及。据区块链分析机构Bitquery的数据，1.2604亿美元的USDC从Kraken、Crypto.com和OKX流向17个钱包，但这些流动与银行损失之间的完整关联尚未得到公开证实。
本文参考资料包括：银行官方公告、法新社（AFP）经Boursorama转载的报道、Bitquery的调查报告、Ledger Insights和Cryptoast的分析，以及各交易所的声明。Reuters的原始报道未能通过我们的工具获取；记者Grégory Raymond在X平台上的帖子内容，我们通过Bitquery间接引用。
资金并非从区块链被盗
第一个悖论在于：此次攻击中没有任何私钥被窃取。据银行方面表示，攻击者通过一家未透露名称的外部供应商平台入侵了Arkéa，并动用了机构本身的企业账户，而非联盟成员或子公司的客户账户。银行排除了人为失误的可能性，将其定性为来自外部的复杂攻击，目前已得到遏制。银行明确指出，Fortuneo平台未受任何入侵。
据法新社报道，11月4日（周三），Arkéa已向巴黎检察院网络犯罪部门提起诉讼。检察院已以“有组织团伙入侵计算机系统”为由立案，并将调查移交给警方反网络犯罪局。银行强调，涉案金额不会动摇其财务稳健性：法新社援引数据显示，该行今年上半年净利润达2.3亿欧元。
资金踪迹指向受监管交易所
第二个悖论在于攻击者选择的路径。据Bitquery援引记者Grégory Raymond的分析，转账资金流入了以虚假身份开设的交易所账户。Ledger Insights还原了11月1日和2日的USDC提款记录：从Kraken账户提出约1.02亿美元，从Crypto.com提出约540万美元，从OKX提出约66万美元。每次大额提款前通常先有一笔1,000美元的测试性付款，随后每笔转账在500万至1,000万美元之间。Bitquery的数据显示，流向17个钱包的资金合计达1.2604亿美元，其中约95%来自Kraken；若排除4个间接关联钱包，总额降至9,571万美元。
据Ledger Insights报道，Kraken声明此事件并非源自其平台，已限制相关账户，正配合执法部门调查，且没有任何客户账户被入侵。据AMBCrypto报道，Crypto.com和OKX均表示已冻结相关资金并正在核查案情。据The Block报道，Kraken已于2025年获得爱尔兰中央银行颁发的MiCA牌照，以此在欧盟范围内运营。欧洲加密资产服务提供商的监管规则，也是我们深度报道仿冒交易所与监管机构诈骗手法的核心议题。
资金转移速度远超官方公告
事实上，据Bitquery的数据，第一笔提款发生于11月1日（周日）世界协调时12:25，OKX率先提出资金，仅在随后不到三小时内（至当日23:00），流出资金已累计约7,320万美元。在约四小时内，6,298万美元的稳定币通过UniswapX兑换为27,553枚以太坊（ETH）。此后资金开始分散转移：约3,609万美元流向LI.FI，其中包括一项可将资金转换为门罗币（Monero）的服务，而门罗币的区块链交易记录无法被追踪。另有814万美元流入一个由TRM Labs关联至Kyrrex的存款地址。截至11月5日世界协调时08:47，仍可追踪的资金约为3,726万美元，占总额的30%。
银行于11月4日发表声明。距Bitquery追踪到首批提款已过去三天。调查员ZachXBT于11月2日首先披露此案。但未点名受害方。他表示，银行的初期沉默使超过3000万美元得以完成洗钱。据Cryptoast报道。ZachXBT还以“高度信心”评估认为。幕后黑手与Lazarus黑客组织无关。上述均为其个人判断，并非执法机构的正式结论。
谁冻结了资产，谁没有
事发初期，主要由交易所采取行动限制相关账户。链上冻结则相对有限：根据Bitquery的数据，Tether于11月2日冻结了约114万枚USDT；而截至11月5日，Circle对被追踪钱包中剩余的171万枚USDC尚未采取任何冻结措施。两大稳定币发行商之间的差异，正是我们在USDT与USDC对比文章中探讨的核心议题之一，而Tether的冻结权力也是该发行商长期面临的稳定与隐忧之间微妙平衡的缩影。
数字至今对不上
事实上，第三个悖论在于：受害方公布的金额低于外部各方的统计数字。银行自称损失约1亿欧元，按AFP引用的汇率折合约1.13亿美元（据Bitquery）。法国媒体《Le Télégramme》报道为1.33亿美元、约1.18亿欧元，Arkéa方面接受了这一数量级，但未予确认具体数字。ZachXBT的初始估算为1.06亿美元，后来上调至逾1.33亿美元。Bitquery坦承目前仍无法解释各估算之间的差距。
仍待厘清的问题
尚待厘清的问题还有很多。银行转账与链上资金流向之间的完整关联，迄今尚未得到公开证实：Bitquery并未将17个钱包归属于任何特定主体，其关联判断依据的是媒体报道及钱包的行为模式。目前仍不清楚的信息包括：外部供应商的名称、入侵发生的确切日期、攻击者如何在交易所开立账户，以及被冻结的具体金额与位置。
Gaurav Agarwal
Arkéa案件要点梳理
已确认事项与待确认事项
- 已确认：攻击经由外部供应商平台发起，银行账户遭到转账，初步损失估算约为1亿欧元量级，客户未受波及，案件已在巴黎立案调查。
- 尚未披露：供应商名称、入侵确切日期、最终损失金额及已冻结金额、Bitquery追踪的1.2604亿枚USDC与本次事件关联的公开证据。
- 持续关注：巴黎检察机关的调查进展、资金追回情况、以虚假身份开立账户的核查结果，以及Circle可能采取的冻结行动。
更宏观的视角
在我们看来，此案颠覆了外界的惯常叙事。这次出问题的不是区块链本身，而是一家传统银行的供应链；加密资产是在事后才出现的，扮演的是快速逃脱的通道角色。欧洲金融业对外部供应商的依赖问题由来已久，正如欧盟金融机构依赖境外AI系统的案例所示，而此次事件带来的代价已是有据可查。
第二个值得关注的维度是：谁有能力叫停资金流动。银行业早已在探索区块链应用，英国各大银行推进的银行间代币化存款即为一例。但一旦资金离开银行体系，制动权就转移到了交易所和稳定币发行商手中。正在将USDC推进40个新兴市场的Circle，截至11月5日仍未冻结任何资产。后续值得跟踪：调查进展、账户持有人身份核查，以及最终有多少资金能够追回。
