Französische Bank Arkéa bestätigt Cyberangriff: Beute soll bei 118 Mio. Euro (CHF 109 Mio.) liegen

4. November 2026, 11:25 Uhr · 2 Min. Lesezeit · Redaktion TVinvestment

Crédit Mutuel Arkéa hat einen Cyberangriff mit betrügerischen Transaktionen bestätigt. Blockchain-Analysen und Medien beziffern den Schaden auf 118 Mio. Euro (CHF 109 Mio.), die Bank selbst nennt keinen Betrag. Das Geld soll über Krypto-Plattformen gewaschen worden sein.

Die bretonische Genossenschaftsbank Crédit Mutuel Arkéa, Mutter von Crédit Mutuel de Bretagne und Fortuneo, hat am 4. November einen Angriff eingeräumt. Gegenüber dem Krypto-Portal Cryptoast bestätigte sie betrügerische Transaktionen. Das Ereignis sei unter Kontrolle und habe für die Kundschaft keine finanziellen Folgen. Einzelne Transaktionen seien vorübergehend ausgesetzt, die Behörden und Aufsichtsstellen informiert.

Die Spur führt über Krypto-Börsen

Bekannt wurde der Fall durch den Blockchain-Ermittler ZachXBT. Er meldete am 2. November verdächtige Abflüsse von über 106 Mio. Dollar (CHF 87 Mio.) in den Stablecoins USDC und USDT bei einem ungenannten europäischen Institut. Stablecoins sind an den Dollar gebundene Krypto-Token. Später erhöhte er auf über 133 Mio. Dollar (CHF 109 Mio.) und nannte Arkéa. Er vermutet, dass die Summe noch höher liegt. Die Nachrichtenagentur AFP nennt 118 Mio. Euro (CHF 109 Mio.).

Laut einer Boursorama-Meldung, die sich auf eine dem Fall nahestehende Quelle stützt, wurden nicht Kryptowerte der Bank gestohlen. Das Geld sei zunächst in herkömmlicher Währung abgeflossen, dann über ein Netz von Mittelsmännern auf Plattformen wie Crypto.com gelangt und dort getauscht worden. Laut dem Analysedienst Bitquery gingen ab dem 1. November binnen 21 Stunden rund 108,8 Mio. Dollar (CHF 89 Mio.) in USDC von Kraken, Crypto.com und OKX an etwa 15 Adressen. Rund 63 Mio. Dollar (CHF 51 Mio.) wurden in die Kryptowährung Ether getauscht, ein Teil in das schwer nachverfolgbare Monero. Kraken und Crypto.com sperrten Konten oder Mittel und betonen, selbst nicht gehackt worden zu sein.

Offene Fragen

Wie die Angreifer eingedrungen sind, ist nicht bekannt. ZachXBT wirft der Bank vor, zu spät gemeldet zu haben, wodurch sich über 30 Mio. Dollar (CHF 24 Mio.) nicht mehr hätten einfrieren lassen. Diese Darstellung ist nicht bestätigt. Die EU-Regel DORA verlangt von Banken eine rasche Meldung schwerer IT-Vorfälle. Ob Arkéa sie eingehalten hat, ist offen. Eine Verbindung zu Nordkorea schliesst ZachXBT mit hoher Sicherheit aus, ein Beweis ist das jedoch nicht.

Arkéa zählte Ende 2025 rund 5,64 Millionen Kunden, eine Bilanzsumme von 211,6 Mrd. Euro (CHF 195 Mrd.) und einen Reingewinn von 450 Mio. Euro (CHF 414 Mio.). Die genannte Summe entspräche gut einem Viertel dieses Gewinns. Im Mai hatte sie laut Medien eine Krypto-Zulassung nach der EU-Regel MiCA beantragt.

Dieser Artikel wurde mit KI-Unterstützung aus den genannten Quellen recherchiert und in eigenen Worten verfasst. Er dient der Information und ist keine Anlageberatung.