Kibertámadás érte a francia Crédit Mutuel Arkéa bankcsoportot, amely csalárd pénzügyi műveleteket ismert el. A több mint 133 millió dolláros veszteségről szóló becslést ugyanakkor nem erősítette meg. Az Arkéa-kibertámadás a banki átutalások, a kriptotőzsdék és a stabilcoinok közötti biztonsági kapcsolatokra irányítja a figyelmet.
Az összeállítás a 2026. november 4-én elérhető információkat tükrözi.
Mit erősített meg a bank az Arkéa-kibertámadásról?
A Crédit Mutuel Arkéa november 4-én közölte, hogy informatikai támadás következtében jogosulatlan pénzügyi műveletek történtek. Az AFP beszámolója szerint a bank nem nevezte meg az elkövetőket, nem részletezte a behatolás módját, és a nyilvánosságban megjelent kárösszeget sem igazolta.
A bankcsoport későbbi, 13:45-kor közzétett hivatalos közleménye szerint az incidenst ellenőrzés alá vonták. Egyes tranzakciókat elővigyázatosságból felfüggesztettek, majd a biztonsági ellenőrzések és további védelmi intézkedések után megkezdték a műveletek fokozatos helyreállítását. Bizonyos átutalások végrehajtása emiatt késedelmet szenvedett.
Az Arkéa állítása szerint az ügyfelek vagyonát nem érte hátrány. A csoport azt is közölte, hogy az érintett összegek felmérése folyamatban van, de azok nem veszélyeztetik pénzügyi stabilitását. Ezek a bank hivatalos állításai; a végleges kárfelmérés eredményét egyelőre nem tették közzé.
Az ügy megértéséhez három kérdést kell külön kezelni: történt-e támadás, mekkora összeget érintett, és végül ki viseli a veszteséget. Az elsőt a bank megerősítette, a második még vizsgálat tárgya, a harmadikról pedig ügyfélvédelmi biztosítékot adott. Az ügyfelek veszteségmentessége önmagában nem jelenti azt, hogy az intézménynek sem keletkezett költsége.
Honnan származik a 133 millió dolláros becslés?
A jelentős veszteség gyanúját ZachXBT, a blokkláncon végzett pénzmozgáselemzéseiről ismert független nyomozó hozta nyilvánosságra. A The Block beszámolója alapján november 2-án még egy meg nem nevezett európai szereplőhöz kapcsolódó, több mint 106 millió dolláros gyanús pénzkivonásról írt. További, mintegy 27 millió dollárnyi mozgás azonosítása után a becslését 133 millió dollár fölé emelte, majd az Arkéát nevezte meg feltételezett károsultként.
Ettől elkülönül a Bitquery blokkláncelemzése: a vállalat november 1–2. között körülbelül 21 óra alatt 108,8 millió dollárnyi USDC kiutalását követte a Kraken, a Crypto.com és az OKX tárcáiból 15 címre. Ez meghatározott címek és tranzakciók vizsgálatának eredménye, nem a bank teljes veszteségének auditja. A teljes 133 millió dolláros összeget az elemzés nem tudta megerősíteni.
A két számot nem szabad összeadni: részben ugyanazokat a pénzmozgásokat írhatják le, eltérő módszertannal és vizsgálati körrel. Egy összetett ügyben ugyanaz a pénz több tárcán, váltáson és szolgáltatón is áthaladhat. A tranzakciós forgalom egyszerű összegzése ezért túlbecsülheti az eredetileg eltulajdonított vagyont.
A végleges nettó veszteség megállapításához az eredeti jogosulatlan terheléseket, a visszaszerzett összegeket és az esetleges megtérüléseket is tisztázni kell. Egy korai blokkláncbecslés fontos figyelmeztetés, de nem helyettesíti ezt az elszámolást. A jelenlegi adatokból sem a teljes megtérülés, sem a teljes veszteség nem állapítható meg.
Banki pénzt téríthettek el, majd kriptóra válthatták
Az egyik legfontosabb nyitott kérdés, hogy hol kezdődött a csalás. A Boursorama oldalán megjelent Cryptoast-beszámoló Grégory Raymond újságíró értesüléseire hivatkozva azt írja: a csoport Fortuneo nevű online bankjából hagyományos pénzt utalhattak hamis személyazonossággal megnyitott kriptotőzsdei számlákra. Ezeken vásárolhattak digitális eszközöket, amelyeket később saját tárcákba továbbítottak.
Ez egyelőre sajtóértesülés, nem lezárt hatósági ténymegállapítás. A kezdeti visszaélés pontos mechanizmusa továbbra sem ismert. Nyilvános bizonyíték hiányában nem indokolt konkrét informatikai sérülékenységet, belső közreműködőt vagy egyetlen támadási módszert megnevezni.
A különbség a felelősség és a védekezés szempontjából is lényeges. Ha a kiindulópont banki átutalási csalás volt, akkor a vizsgálatnak az átutalások engedélyezését és a kedvezményezettek ellenőrzését is fel kell tárnia. Ha jogosulatlan tőzsdei hozzáférés történt volna, akkor a belépési és kiutalási védelem kerülne előtérbe. A kettő eltérő bizonyítékokat igényel.
A KYC, vagyis az ügyfélazonosítás azt szolgálja, hogy a pénzügyi szolgáltató ellenőrizze ügyfele személyazonosságát. A pénzmosás elleni ellenőrzés ennél tágabb: a pénz eredetét, a szokatlan tranzakciókat és az összefüggő számlamozgásokat is vizsgálja.
Egy tőzsdéhez kötődő tárcából induló utalás önmagában nem bizonyítja a tőzsde feltörését. A szolgáltató szabályos kiutalási rendszere is továbbíthat olyan pénzt, amely korábban csalásból származott. A központi kérdés ilyenkor az, mikor vált felismerhetővé a visszaélés.
Miért kerülnek stabilcoinok az ilyen ügyekbe?
A stabilcoin olyan kriptoeszköz, amelynek értékét egy referenciához, gyakran az amerikai dollárhoz igyekeznek kötni. Az ügyben említett USDC és USDT dollárhoz kötött stabilcoinok. A céljuk a viszonylag állandó érték, de ez nem jelent minden körülmények között garantált árfolyamot vagy kockázatmentes megtakarítást.
Egy elkövető számára az ilyen eszközök lehetővé tehetik, hogy a pénz digitálisan továbbítható legyen anélkül, hogy közben teljes egészében a bitcoin vagy az ether árfolyam-ingadozását vállalná. Ugyanakkor a kibocsátói korlátozások új akadályt jelenthetnek számára.
A Circle befagyasztási tájékoztatója szerint bizonyos feltételek mellett blokkolhatók egyes címek USDC- és EURC-műveletei. A befagyasztás azonban különbözik a tranzakció visszafordításától: egy már teljesült átutalást a Circle sem tud egyszerűen visszahívni.
Az elemzésekben szereplő USDC–ETH-váltások jelentőségét ez magyarázza. Az ether az Ethereum saját kriptoeszköze, amelynek nincs a Circle-höz hasonló központi kibocsátója és azonos típusú címblokkolási rendszere. Ez nem jelenti azt, hogy hatósági eljárásban soha nem foglalható le: például egy letétkezelő szolgáltatónál elérhető vagyon más módon korlátozható.
A blokklánchíd különböző hálózatok közötti értékmozgatást tesz lehetővé. Az Ethereum hídismertetője alapján ezek működése és biztonsági modellje eltérhet. Elemzői szempontból a láncok közötti mozgás több rendszer adatainak összevetését igényli, ezért összetettebbé teheti a nyomkövetést. Ettől a korábban rögzített tranzakciós nyomok még nem tűnnek el.
Befagyasztás, nyomkövetés és a gyors reagálás szerepe
A blokkláncelemzés nyilvános tranzakciókból próbálja feltérképezni a pénz útját. Megmutathatja az összeget, az időpontot és a címek közötti kapcsolatokat, de egy tárcacím mögötti személy nevét nem feltétlenül árulja el. A banki átutalások és a tőzsdék belső ügyfélnyilvántartásai további bizonyítékokat adhatnak.
A CoinDesknek nyilatkozó Crypto.com azt közölte, hogy intézkedett az incidenshez kapcsolódó pénzek blokkolásáról, és felhasználói eszközei biztonságban vannak. A közlés nem adott teljes, minden érintett szolgáltatóra kiterjedő visszaszerzési mérleget. A blokkolt összeg és a károsultnak végleg visszaadott összeg ezért külön fogalom.
ZachXBT a bejelentés állítólagos késlekedését is bírálta: szerinte gyorsabb intézkedéssel több mint 30 millió dollár további mozgatását lehetett volna megakadályozni. Ez az ő értékelése. A bank ezzel szemben az észlelést követő azonnali reagálásról és a hatóságok tájékoztatásáról beszélt; a teljes időrendet független vizsgálat tisztázhatja.
A gyorsaság jelentősége ettől függetlenül érthető. Amíg az összeg egy központi szolgáltatónál vagy blokkolható tokenben található, lehetőség nyílhat korlátozásra. Egy további átváltás után más intézmény és más jogi vagy technikai eszköz válhat szükségessé.
A nyilvános kommunikáció időpontja ugyanakkor nem feltétlenül azonos a hatósági bejelentés időpontjával. A reakció megítéléséhez azt is tudni kellene, mikor észlelték az első gyanús műveletet, és mikor állt rendelkezésre intézkedésre alkalmas információ.
Mi köze az ügynek a Binance, a Bitget és a Bybit támadásaihoz?
Az Arkéa-ügy olyan időszakban került nyilvánosságra, amikor több nagy kriptoszolgáltatót is jelentős támadás ért. Ez érthetően fokozza a biztonsági aggodalmakat, de az eseteket a bizonyított részleteik alapján kell összehasonlítani.
A Reuters október 31-i, november 1-jén frissített beszámolója 6,3 milliárd dolláros Binance-lopásról írt. Az FBI október 31-i közleménye a több mint 6 milliárd dolláros támadást Észak-Koreához kötötte, TraderTraitor megjelöléssel.
A Bitget szeptember 24-i biztonsági közleménye hozzávetőleg 351,6 millió dollárnyi érintett eszközről és egyes működési tárcákból indított jogosulatlan kiutalásokról számolt be. A tájékoztatás akkor még nem nevezte meg a támadás végleges technikai okát. A hot wallet, vagyis online működési tárca gyors tranzakciókat szolgál ki; a cold wallet kulcsait jellemzően az online rendszerektől elkülönítve kezelik.
A 2025. februári Bybit-lopás nagyságrendjét az FBI körülbelül 1,5 milliárd dollárra tette, és szintén Észak-Koreának tulajdonította.
Ezekből nem következik, hogy az Arkéa támadói is ugyanahhoz a körhöz tartoznak. Az elkövetők azonosításához külön bizonyíték kell. A közös tanulság az intézményi hozzáférések, a tranzakciós jogosultságok és a pénzmozgás-felügyelet jelentősége; a konkrét hibapontok azonban eltérhetnek.
Milyen kriptopiaci következmények jöhetnek?
Az Arkéa-kibertámadás alapján nem lehet megalapozott bitcoin- vagy ether-célárat kijelölni. A feltételezett lopás összege önmagában nem mutatja meg, mekkora eladási nyomás keletkezik: ehhez az eszközök összetételét, a váltások helyét, időzítését és a piaci likviditást is ismerni kellene.
A likviditás azt jelenti, hogy mekkora mennyiség adható vagy vehető jelentősebb árhatás nélkül. Ugyanakkora eladás egy mély piacon kisebb, egy gyengébb forgalmú eszköznél nagyobb elmozdulást okozhat. Az ellopott vagyon teljes dollárértékét ezért nem helyes automatikusan várható árfolyameséssé alakítani.
Kedvező forgatókönyv: a további jogosulatlan műveleteket sikerül megállítani, érdemi összegek térülnek meg, és a szolgáltatások rendeződnek. A részletes vizsgálati jelentés erősíthetné a bizalmat, ha ellenőrizhetően bemutatja a hibák kijavítását. Ez sem garantálna árfolyam-emelkedést.
Semleges forgatókönyv: a veszteség az intézményi szereplőknél marad, miközben az ügyfelek kiszolgálása helyreáll. A piaci hatás ekkor főként magasabb ellenőrzési költségekben, szigorúbb átutalási vizsgálatokban és hosszabb feldolgozási időkben jelentkezhetne.
Kockázati forgatókönyv: a feltárt kár nő, további intézmények érintettsége derül ki, vagy elhúzódnak a fennakadások. Ez ronthatná a szolgáltatókba vetett bizalmat, és egyes helyeken pénzkivonást vagy likviditási feszültséget válthatna ki. Ezek feltételes lehetőségek, nem igazolt fejlemények.
Az európai pénzügyi szektorban a DORA-rendelet 2025. január 17. óta alkalmazandó. Keretei kiterjednek az informatikai kockázatkezelésre, a jelentős incidensek bejelentésére, a tesztelésre és a külső technológiai szolgáltatók kockázataira. Egy támadás bekövetkezése ugyanakkor önmagában nem bizonyít szabályszegést; ehhez a konkrét kötelezettségek teljesítését kell vizsgálni.
Mire figyeljenek az ügyfelek és a kriptotulajdonosok?
Egy ismert támadás híre új csalási hullámhoz adhat ürügyet. A hamis banki ügyintéző sürgős „biztonsági átutalást”, az ál-ügyfélszolgálat tárcacsatlakoztatást, a kéretlen kármentő pedig előre fizetendő visszaszerzési díjat kérhet. A sürgetés célja gyakran az, hogy az érintett ellenőrzés nélkül döntsön.
Az amerikai FTC figyelmeztetése szerint a kriptoveszteségek károsultjait megtévesztő pénzvisszaszerzési ajánlatokkal is célba vehetik. A biztos megtérülést ígérő, előleget kérő szolgáltatás különösen erős figyelmeztető jel.
A tárca helyreállító szavait és privát kulcsát nem szabad átadni. Ezek birtokában más is rendelkezhet az eszközökkel. Az IRS biztonsági tájékoztatója szintén kiemeli e titkok védelmét, valamint incidens esetén a bizonyítékok megőrzését és az érintett pénzügyi szolgáltató gyors értesítését.
Gyanús megkeresésnél a bankot vagy tőzsdét a saját alkalmazásából, illetve önállóan megnyitott hivatalos elérhetőségén érdemes ellenőrizni. Az SMS-ben kapott link, a kijelzett telefonszám és egy ismerős logó nem elegendő hitelesítés.
A felelős döntéshez a tárolási forma kockázatait is érteni kell. Letétkezelőnél a szolgáltató működése és hozzáférési védelme számít; saját tárcánál a kulcskezelés és a tranzakciók jóváhagyása kerül az ügyfélhez. Egyik megoldás sem teszi indokolttá az ellenőrzések elhagyását. Pánikból indított, hibás hálózatra vagy csaló címre küldött átutalás további, akár végleges veszteséget okozhat.
Gyakori kérdések
Megerősítette az Arkéa a 133 millió dolláros veszteséget?
Nem. A bank a kibertámadást és a csalárd műveleteket ismerte el. A 133 millió dollár feletti összeg ZachXBT becslése; a végleges kárérték még nem ismert.
Biztosan kriptovalutát loptak el közvetlenül a banktól?
Ez nem bizonyított. Sajtóértesülések szerint hagyományos pénzt utalhattak ki, majd azt kriptoeszközökre válthatták. A kezdeti visszaélés pontos módját még nem hozták nyilvánosságra.
Elveszítették a pénzüket az Arkéa ügyfelei?
A bank közlése szerint az ügyfelek vagyona nem sérült. Egyes átutalások késedelmet szenvedtek, a csoport pedig a műveletek fokozatos helyreállításáról tájékoztatott.
A stabilcoinokat mindig vissza lehet szerezni?
Nem. Egyes tokeneknél lehetséges címblokkolás, de ez feltételekhez kötött, és nem azonos a már teljesült tranzakció visszafordításával vagy a pénz visszaszolgáltatásával.
A Kraken, a Crypto.com és az OKX említése feltörést jelent?
Nem. A tárcáikból induló tranzakciók azt mutatják, hogy pénz haladt át a rendszereiken. Ez önmagában nem bizonyítja infrastruktúrájuk feltörését.
Észak-koreai támadók állnak az Arkéa-ügy mögött?
Ezt nem erősítették meg. Más lopások hatósági besorolását nem lehet automatikusan erre az incidensre alkalmazni.
Jogi nyilatkozat: Az írás kizárólag tájékoztató és ismeretterjesztő célokat szolgál, nem minősül befektetési vagy pénzügyi tanácsadásnak. A kriptovaluták magas kockázatú, jelentős árfolyam-ingadozásnak kitett eszközök lehetnek.
