Arkéa fik sit tyveri afsløret på Telegram

Når en bank siger, at kunderne ikke mister penge, mister nogen dem alligevel. I Crédit Mutuel Arkéas tilfælde er det banken selv. Hackere har fået fat i omkring 100 millioner euro af bankens egne midler, og pengene er endt som kryptovaluta på børser i flere lande. Kunderne har fået besked om, at de er uberørte. Sagen fortæller til gengæld en hel del om bankens leverandørkæde og om, hvem der i dag opdager et bankrøveri først.

Hvad banken selv har bekræftet

Arkéa, en bretonsk andelsbankgruppe, meddelte onsdag den 4. november, at den har været udsat for et cyberangreb, der gjorde det muligt at gennemføre svigagtige transaktioner. Hændelsen beskrives som “under kontrol”. Visse transaktioner er midlertidigt suspenderet for at stoppe nye bevægelser og sikre driften, og kunderne får at vide, at episoden ikke har finansielle konsekvenser for dem. Banque de France skal være underrettet, men har ikke villet kommentere.

Beløbet bekræftede banken ikke i første omgang. Senere på aftenen oplyste den et foreløbigt overslag på omkring 100 millioner euro, som den forsøger at få tilbage. Pressen har brugt 133 millioner dollar, svarende til cirka 118 millioner euro. De to tal ligger i samme størrelsesorden uden at være det samme, og banken har kun godkendt størrelsesordenen. Det endelige tab kendes ikke, og det kan ændre sig, efterhånden som revisorer og efterforskere gør status.

Pengene forlod bankens egen konto

De første historier handlede om børskonti, der blev tømt. Bankens egen redegørelse peger i en anden retning: Angriberne brugte Arkéas egen konto til at sende penge til andre banker og konverterede dem derefter til kryptovaluta via specialiserede platforme. Adgangen skete ifølge banken gennem en leverandørs platform og dermed ikke gennem bankens egne systemer, selv om det endte med at ramme banken direkte.

De to beskrivelser kan godt begge være rigtige. Penge kan forlade en bank som almindelig valuta, lande på en konto hos en kryptobørs, blive købt om til stablecoins og derefter blive trukket ud igen. Set fra børsen ligner det udtræk fra konti. Set fra banken ligner det udgående betalinger. Men ingen har endnu offentliggjort et samlet forløb, der binder de to sider sammen, og det er bankens udlægning, vi har. Den kommer fra den part, der har mest at vinde ved at pege udad, og den er ikke efterprøvet af uafhængige.

Læs også: Binance, Nordkorea og 6,3 milliarder dollar på tyve minutter

Leverandørkæden er det svage led

Hvis angrebet gik via en leverandør, er sagen et lærestykke i, hvordan moderne banker er bygget. En bank ejer sjældent hele sin betalingskæde. Dele af den kører hos eksterne udbydere, og hver af dem har adgange, der i praksis kan flytte penge. En angriber behøver ikke bryde ind i selve banken, hvis døren står åben hos naboen.

EU har forsøgt at lukke netop det hul. Forordningen om digital operationel modstandsdygtighed, kendt som DORA, har gældt for finanssektoren siden januar 2025. Den stiller krav til tilsyn med it-leverandører og til rettidig indberetning af større hændelser. Om Arkéa eller leverandøren har levet op til kravene, er uafklaret, og intet i de offentlige oplysninger tyder på, at nogen har påvist en overtrædelse. Men spørgsmålet er oplagt, og det er tilsynenes at besvare.

Det rækker ud over Bretagne. Danske banker deler også it-leverandører og betalingsplatforme i vid udstrækning, så et hul hos én udbyder kan i princippet åbne mange døre på én gang. Hvor mange af dem der kunne ramme en dansk bank, kan sagen ikke sige noget om. Men det er et spørgsmål, Finanstilsynet og bankerne selv bør kunne svare på uden forbehold.

Kryptoen blev flugtvejen

Den blockchain-analytiske virksomhed Bitquery har sporet 108,8 millioner dollar i stablecoinen USDC, der blev trukket ud af konti hos Kraken, Crypto.com og OKX i løbet af 21 timer den 1. og 2. november. Pengene bevægede sig gennem hundredvis af wallets, og en stor del blev skiftet til ether. Crypto.com har blokeret midler knyttet til hændelsen og siger, at kundernes midler er sikre. OKX har frosset en institutionel kundekonto efter usædvanlig aktivitet. Kraken har ikke svaret.

Forskellen på de to valutaer er afgørende i praksis. En stablecoin har en udsteder, som kan fryse adresser. Ether har ingen. Når pengene først er skiftet, er der intet centralt sted at ringe til. Derfor tæller timerne: Hver time, der går, før nogen råber op, er en time, hvor pengene kan nå over på den side af skellet, hvor de ikke længere kan stoppes.

En anonym detektiv slog banken til det

ZachXBT, den pseudonyme efterforsker, flaggede mandag den 2. november mere end 106 millioner dollar i mistænkelige udbetalinger fra en vesteuropæisk finansiel institution. Siden fandt han yderligere 27 millioner dollar og landede på over 133 millioner. Onsdag navngav han Arkéa og beskrev angrebet som flerdages. Hans samlede tal kan blive højere, mener han, når handler uden om børserne (OTC) regnes med.

Han har også rejst en kritik: Fordi hændelsen ikke blev meldt ordentligt ud, nåede mere end 30 millioner dollar at blive vasket, selv om europæiske myndigheder kunne have frosset dem. Det er hans påstand og ikke et fastslået faktum. Tidslinjen støtter den dog delvist, for banken udtalte sig offentligt, da navnet allerede lå på Telegram. Bankens egne teams opdagede angrebet, lyder meldingen, men hvornår, er ikke oplyst.

En reguleret bank med 235 milliarder dollar i aktiver, som ZachXBT anslår, blev altså afsløret af en anonym privatperson med et blockchain-værktøj. Det siger noget om, hvor gennemsigtige kryptostrømme er, og om, hvor lidt tilsvarende gennemsigtighed der er i bankernes egen kommunikation.

Læs også: Kryptovaluta: Den nye motor for pengevask i Danmark

Hvem betaler, når kunderne ikke gør

Arkéa samler blandt andet Crédit Mutuel de Bretagne og Crédit Mutuel du Sud-Ouest. Der er andelsejere frem for aktionærer, og tabet på omkring 100 millioner euro ender derfor i bankens resultat og dermed i den egenkapital, som medlemmerne i sidste ende står bag. Sat i forhold til 235 milliarder dollar er det omkring en halv promille. Banken går ikke ned på det.

Det gør forsikringen til kunderne troværdig i en snæver forstand. Men en bank, der lover “ingen konsekvenser”, har kun lovet noget om kundernes konti. Den har ikke sagt, hvordan angriberne kom ind, og den har ikke sagt, om flere kan være berørt.

Hvem står bag

Ingen ved det. ZachXBT siger, at han med høj grad af sikkerhed udelukker Nordkoreas Lazarus-gruppe, fordi pengene er flyttet anderledes. Det adskiller sagen fra Binance-angrebet i slutningen af oktober, hvor omkring 6,3 milliarder dollar forsvandt, og hvor FBI har udpeget Nordkorea. To store kryptotyverier inden for en uge inviterer til at kæde dem sammen. Der er ingen offentlig dokumentation for, at de hænger sammen, og de beskrevne metoder tyder på, at de er forskellige.

Det, der mangler

Hvem er leverandøren? Hvor længe havde angriberne adgang? Hvor meget er frosset, og hvor meget er væk for altid? Hvilken anklagemyndighed efterforsker, og hvad har Banque de France fået at vide? Og hvornår opdagede banken selv, at pengene var på vej ud?

Indtil de spørgsmål har svar, har kunderne fået en forsikring og offentligheden en detektivs tråd på Telegram.