Arkéa 称攻击者经供应商平台操作银行自有账户，入口并非 Fortuneo

Crédit Mutuel Arkéa 11 月 4 日公司公告确认网络攻击促成欺诈交易。银行称已联系相关机构及监管方、调动团队，并暂时暂停部分交易；称事件已遏制及结束，在检查和强化安全措施后，于当日上午逐步恢复运营。团队仍在评估后果及加强安全。这些是银行说法，不是独立取证结论，也不能证明每笔转账均已完成。

银行称其成员银行及子公司的客户资产不受影响，部分转账曾延迟。最初公告未公布受影响客户人数、详细攻击时段、入侵入口、失陷软件版本、数据暴露范围或量化损失。金额仍在评估，银行称不影响集团财务稳健。公告未将 Fortuneo 确认为入侵点，也未确认较早加密资产报道中钱包的归属。链上转账不能证明该银行的损失、资金来源或攻击机制；本文不把加密资金流估算视为银行确认金额。

银行已确认真实网络金融欺诈及交易中断，因此评为 L4。客户没有公开软件补丁可安装。应遵循银行服务及客户经理指引，继续防范钓鱼，并区分逐步恢复、调查完成及所有余额已获独立核实。

11 月 4 日后续澄清： 银行现称攻击者经未具名供应商的平台直接进入 Arkéa，并非经 Fortuneo。欺诈交易使用银行自有账户向其他银行机构转账，随后可能通过加密平台兑换；未经过其联合会及子公司的客户账户。供应商身份、技术入口方式、目的钱包归属及加密兑换详情，仍未得到超出银行有限表述的核实。

针对 **1.18 亿欧元（1.33 亿美元）**的提问，银行拒绝确认精确数字，只认可数量级。银行称部分资金已被拦截，仍在追回，最终财务影响待评估。拦截不等于返还，不能将该数字当成已确认最终损失。银行称上午经检查已恢复几乎全部业务，但部分客户转账延迟；预防性钓鱼警示不能证明客户数据泄露。

11 月 5 日研究跟进： Bitquery 现追踪 Kraken、Crypto.com 及 OKX 向 17 个钱包支付的 1.2604 亿美元 USDC，替代其此前 15 个钱包、1.088 亿美元的分析。新识别的两个钱包对应 11 月 2 日 15:46–16:30 UTC 约 1720 万美元出金，研究者纠正了此前称出金在当天上午结束的说法。这是疑似加密出金环节，不是银行转账本身。研究者在 11 月 5 日 08:47 UTC 的快照计得归属推断的以太坊钱包仍持有 3726 万美元，其中 114 万 USDT 冻结；剩余持仓及冻结都不是确认已返还资金。这些数字及归属尚未独立核实，不能与银行认可的数量级相加，也不能称为最终损失。研究无法看到银行转账、核实交易所账户身份或解释与此前 1.33 亿美元报道的全部差异。银行关于自有账户、供应商入口及客户持仓的说明仍是公司立场，不能由此证明相关交易所或 Trust Wallet 遭入侵。