仏銀行クレディ・ミュチュエル・アルケアがサイバー攻撃を認識、ZachXBTは1.33億ドルの暗号資産被害を指摘

外部連携プラットフォームを経由したサイバー侵害と銀行の対応

フランスの大手協同組合銀行グループCrédit Mutuel Arkéa（クレディ・ミュチュエル・アルケア）にて、第三者による巧妙なサイバー攻撃が発生し、システムを悪用した不正送金が行われたことが明らかになった。

銀行側の初期調査によると、攻撃者は同行のシステムへ直接侵入したのではなく、委託先である外部サービスプロバイダーのプラットフォームを経由してアクセス権を獲得したとみられる。傘下のオンライン銀行Fortuneo（フォルチュネオ）を含め、顧客の口座や自己資金が直接侵害された形跡はなく、人的ミスによるものでもないと発表されている。

異常を検知した同行は、直ちに規制当局や警察機関へ通報するとともに、さらなる被害拡大を防ぐための安全措置を実施。予防的措置として一部の送金機能を一時的に停止したため顧客の処理に遅れが生じたが、顧客資産そのものは保護されており、事態の収収に伴い業務は段階的に再開されている。

オンチェーン分析が明かす1億3,300万ドル規模の資金流出ルート

銀行側の発表に先立ち、ブロックチェーンアナリストのZachXBT氏は、暗号資産取引所を巻き込んだ大規模な資金移動の疑惑を公表。

同氏の調査によると、中央集権型取引所（Kraken、Crypto.com、OKXなど）のアカウントから、1億600万ドル（約167.5億円）相当のUSDCおよびUSDTが不正に引き出され、その翌日にも2,700万ドル（約42.6億円）が追加で移動。被害総額は1億3,300万ドル（約210億円）を超えると推定されている。

データ分析企業Bitquery（ビットクエリ）の分析によれば、流出したステーブルコインのうち約6,298万ドル（約99.5億円）分は、発行元によるアカウント凍結を回避するため、わずか4時間ほどでイーサリアム（Ethereum/ETH）へ急速に変換された。

その後、即時交換サービスWellWallet、Kyrrexなどを経由して複数のブロックチェーン間を巡回し、最終的に追跡が困難な暗号資産モネロ（Monero/XMR）へと洗浄されたと分析されている。

同行は最終的な損失額の明言を避けているものの、一部資金の凍結措置と回収対応を進めており、自社の財務基盤を揺るがす危機には至らないとの見解を示している。

相次ぐ金融・暗号資産インシデントとフィッシング詐欺への警戒

今回の事象は、暗号資産を資金洗浄の手段として利用する最新の手口を浮き彫りにした。攻撃者はマネーミュール（資金運び屋）の口座を転々と経由させて送金を行い、最終段階でデジタル資産に交換したと推測されている。なお、ZachXBT氏は、本件について北朝鮮のハッカー集団「ラザラス」の関与可能性を否定している。

直近ではバイナンスでの巨額不正流入やブラジルのメルカド・ビットコインでの障害など、金融機関や暗号資産インフラを狙ったサイバーインシデントが立て続けに発生している。

クレディ・ミュチュエル・アルケアは、本件の混乱に乗じた二次被害への警戒を促している。同行の障害発生を装い、偽のセキュリティ警告から認証情報やパスワード、SMS暗号コードを騙し取ろうとするフィッシング詐詐の手口が懸念されるため、不審な連絡に対しては銀行窓口へ直接問い合わせるよう強い注意を呼びかけている。