Crédit Mutuel Arkéa Hack: Bank bestätigt Angriff, ZachXBT verfolgt 133 Millionen Dollar

Die französische Genossenschaftsbank Crédit Mutuel Arkéa hat am Mittwoch, dem 4. November 2026, einen Cyberangriff bestätigt, der nach ihren Worten „betrügerische Operationen“ ermöglicht hat. Der On-Chain-Ermittler ZachXBT verbindet den Angriff mit Abflüssen von mehr als 133 Millionen US-Dollar, die über Krypto-Börsen, Stablecoins, Ether und Monero gelaufen sein sollen. Die Bank nennt bislang keine Summe und betont, dass das Vermögen ihrer Kunden nicht betroffen sei.

Belegt ist damit zweierlei: ein Angriff, den die Bank selbst einräumt, und eine Geldspur, die ein bekannter Blockchain-Analyst öffentlich nachzeichnet. Ob beides in vollem Umfang zusammengehört, hat Arkéa bisher weder bestätigt noch bestritten. Dieser Beitrag ordnet ein, was feststeht, was offen ist und welche Vorkehrungen Bankkunden mit Kryptobestand jetzt sinnvoll treffen.

Crédit Mutuel Arkéa Hack: Was die Bank am 4. November bestätigt hat

Crédit Mutuel Arkéa gehört zur Crédit-Mutuel-Gruppe und ist vor allem in der Bretagne und im Südwesten Frankreichs verwurzelt. Nach eigenen Angaben in ihrer Mitteilung zum Cyberangriff beschäftigt die Gruppe mehr als 12.000 Mitarbeiter, betreut über 5,8 Millionen Mitglieder und Kunden und kommt auf eine Bilanzsumme von 211,5 Milliarden Euro.

In der Stellungnahme, die das Fachmedium Decrypt am Mittwoch wiedergab, schreibt die Bank, der Vorfall sei „abgeschlossen und unter Kontrolle“. Der Betrieb laufe schrittweise wieder an, nachdem verstärkte Sicherheitsmaßnahmen greifen. Das Vermögen der Kunden sei nicht betroffen, der Angriff habe lediglich die Ausführung einzelner Überweisungen verzögert. Die betroffenen Beträge würden noch ermittelt, seien aber „in keinem Fall geeignet, die Solidität und finanzielle Gesundheit der Gruppe infrage zu stellen“.

Außerdem gibt Arkéa an, die zuständigen Aufsichtsbehörden sofort nach Entdeckung des Angriffs informiert und einzelne Transaktionen vorsorglich ausgesetzt zu haben, um weitere betrügerische Bewegungen zu verhindern. Die eigenen Kunden warnt die Bank ausdrücklich vor Phishing-Versuchen im Nachgang des Vorfalls. Ob Kryptowerte unmittelbar betroffen sind und wie hoch der Schaden ausfällt, hat die Bank nach Darstellung von Decrypt nicht beziffert.

ZachXBT und die 133 Millionen Dollar: Wie die Spur über Krypto-Börsen lief

ZachXBT ist ein pseudonymer Blockchain-Ermittler, der seit Jahren Diebstähle und Betrugsfälle anhand öffentlicher Transaktionsdaten nachverfolgt. Am Montag, dem 2. November, meldete er laut Decrypt, eine nicht genannte Stelle in der Europäischen Union habe am 1. November möglicherweise mehr als 106 Millionen Dollar von Konten bei mehreren Krypto-Börsen verloren. Abgezogen worden seien die Mittel als USDC und USDT, also als an den US-Dollar gekoppelte Stablecoins.

Am Dienstag nannte er auf seinem Telegram-Kanal Crédit Mutuel Arkéa als mutmaßliches Opfer und beschrieb das Institut als „französische Bank mit 235 Milliarden Dollar an Vermögenswerten“. Der Angriff habe sich über mehrere Tage erstreckt. In einem Nachtrag am selben Tag ergänzte er weitere 27 Millionen Dollar an Börsenabhebungen, ein Teil davon erst nach seiner ersten Veröffentlichung. Damit kommt er auf mehr als 133 Millionen Dollar. Zugleich veröffentlichte er vier Ethereum-Adressen, die er dem Diebstahl zuordnet.

Wie ZachXBT die Bank identifiziert hat und auf welchem Weg der Angreifer Zugriff auf die Börsenkonten erhielt, hat er nach Angaben von Decrypt nicht offengelegt. Er rechnet damit, dass die Summe noch steigt, sobald außerbörsliche Geschäfte einbezogen werden. Solche OTC-Geschäfte (Over the Counter) sind direkte Handelsabschlüsse zwischen zwei Parteien abseits des öffentlichen Orderbuchs einer Börse; sie tauchen in den Börsenabhebungen nicht auf.

Geldwäsche mit Stablecoins, Ether und Monero: Der mutmaßliche Weg der Beute

Die von ZachXBT beschriebene Route folgt einem Muster, das Ermittler aus vielen großen Diebstählen kennen. Zuerst tauschte der Angreifer demnach USDC in Ether. Der Grund liegt im Aufbau der Stablecoins: Emittenten wie Circle können USDC-Guthaben auf Adressen sperren, die Behörden oder Ermittler melden. Wer gestohlene Stablecoins lange liegen lässt, riskiert also, dass sie eingefroren werden. Ether hat keinen Herausgeber, der eine Adresse sperren könnte.

Im zweiten Schritt liefen die Mittel nach ZachXBTs Darstellung über sogenannte Instant Exchanges. Das sind Tauschdienste, bei denen man Coins ohne eigenes Kundenkonto direkt gegen andere Coins wechselt; oft verlangen sie bei kleineren Beträgen keine Identitätsprüfung. Ein Teil der Beute wurde anschließend in Monero umgetauscht. Monero ist eine Kryptowährung, die Absender, Empfänger und Betrag einer Transaktion standardmäßig verschleiert, sodass sich Zahlungen auf der Blockchain kaum nachverfolgen lassen.

Zusätzlich verschob der Angreifer Mittel über Bridges auf mehrere Blockchains. Eine Bridge ist eine Brücke zwischen zwei Blockchains, die Coins auf der einen Seite sperrt und auf der anderen ein Gegenstück ausgibt. Jeder dieser Schritte erhöht den Aufwand für Ermittler, denn die Spur verteilt sich auf unterschiedliche Netzwerke mit eigenen Analysewerkzeugen.

Am Markt hat der Fall bisher keine sichtbaren Spuren hinterlassen. Monero notierte am Donnerstagmorgen laut CoinPaprika bei rund 635 Dollar und damit 0,2 Prozent unter dem Vortag, während Ether im selben Zeitraum um 5,3 Prozent auf etwa 2.430 Dollar stieg. Bei Tagesumsätzen in Milliardenhöhe gehen selbst dreistellige Millionenbeträge im Handelsvolumen unter.

Offenlegung unter Druck: ZachXBTs Vorwurf und die Antwort der Bank

Schärfer als die Summe ist ZachXBTs Kritik am Umgang mit dem Vorfall. Bevor er den Namen nannte, schrieb er laut Decrypt, seine Arbeitshypothese sei, dass ein großes Finanzinstitut in Westeuropa angegriffen worden sei und der Fall derzeit „vertuscht“ werde. Er wirft dem Institut vor, den Vorfall nicht ordnungsgemäß offengelegt zu haben. Dadurch hätten Strafverfolger rund 30 Millionen Dollar an gestohlenen Mitteln nicht mehr einfrieren können.

Die Bank stellt den Ablauf anders dar. Nach ihrer Mitteilung hat sie die Aufsichtsbehörden unmittelbar nach Entdeckung des Angriffs informiert und sofort Gegenmaßnahmen eingeleitet. Wann genau Arkéa den Angriff bemerkte und wann die Meldung an die Aufsicht erfolgte, geht aus den öffentlich zugänglichen Angaben nicht hervor. Damit lässt sich der Vorwurf derzeit weder bestätigen noch widerlegen.

Für die Praxis zeigt der Streit, wie stark die Erfolgsaussichten bei Krypto-Diebstählen vom Tempo abhängen. Börsen und Stablecoin-Emittenten können Guthaben nur sperren, solange sie noch bei ihnen liegen. Sind die Coins erst über Tauschdienste in Monero gewandert, ist eine Rückholung in aller Regel ausgeschlossen. Die Tätergruppe ist nach ZachXBTs Angaben unbekannt; er sagt jedoch mit „hoher Sicherheit“, dass es sich nicht um die nordkoreanische Lazarus-Gruppe handele, und verweist auf mehrere Merkmale der Geldwäsche.

MiCA-Lizenz und Bankenkrypto: Arkéas Pläne für Privatkunden

Pikant ist der Zeitpunkt. Arkéa bereitet sich seit Monaten auf das Kryptogeschäft vor. Nach einem Bericht der französischen Finanzzeitung L'Agefi vom Mai, den Decrypt aufgreift, hat die Gruppe eine Zulassung nach MiCA beantragt. MiCA ist die europäische Verordnung über Märkte für Kryptowerte; sie regelt seit Ende 2024, wer in der EU Krypto-Dienstleistungen anbieten darf und welche Pflichten dabei gelten.

Mit der Lizenz will Arkéa den eigenen Privatkunden Krypto-Dienstleistungen anbieten und sie über die Sparte Arkéa Banking Services auch als White-Label-Lösung an andere Institute weitergeben. White Label bedeutet, dass ein Anbieter die Technik liefert und ein anderes Unternehmen sie unter eigenem Namen an seine Kunden verkauft. Ob der jetzige Angriff Folgen für das Zulassungsverfahren hat, ist offen; die Bank hat sich dazu bislang nicht geäußert.

Wer heute schon Kryptowerte kauft, sollte auf eine Zulassung des Anbieters achten. Welche Plattformen eine MiCA-Lizenz besitzen und was sie unterscheidet, zeigt unsere Übersicht der regulierten Kryptobörsen. Eine Lizenz verhindert keinen Hack, sie verpflichtet den Anbieter aber zu getrennter Verwahrung der Kundenwerte, zu Sicherheitsvorkehrungen und zu Meldungen an die Aufsicht.

Kryptohandel bei Sparkasse und Volksbank: Wer in Deutschland die Coins verwahrt

Für Anleger in Deutschland ist der Fall vor allem wegen einer Entwicklung lehrreich: Auch hier rückt der Kryptohandel in die Banking-Apps der Hausbanken. Volksbanken und Sparkassen haben den Handel mit Bitcoin und anderen Coins eingeführt oder bereiten ihn vor. Den aktuellen Stand fasst unser Überblick zum Kryptohandel bei der Sparkasse zusammen.

Beim Bankmodell kaufst du die Coins über die gewohnte App, verwahrt werden sie aber von einem Dienstleister im Hintergrund, dem Kryptoverwahrer. Damit hängen zwei Sicherheitsfragen aneinander: die IT der Bank, über die du handelst, und die Verwahrung beim Partner. Ein Angriff auf eine dieser Stellen trifft deine Coins nicht automatisch, wie Arkéas Hinweis auf unberührtes Kundenvermögen zeigt. Er kann aber Überweisungen und Aufträge verzögern, und genau das hat die französische Bank für einzelne Transfers eingeräumt.

Konkret lohnt ein Blick in die Vertragsunterlagen: Wer verwahrt die Coins, ist der Verwahrer selbst beaufsichtigt, und kannst du deine Bestände auf eine eigene Wallet übertragen? Nicht jedes Bankangebot erlaubt die Auszahlung an eine externe Adresse. Wer Wert auf Selbstverwahrung legt, sollte das vor dem ersten Kauf klären.

Binance-Hack und Arkéa-Angriff: Zwei Fälle, zwei Täterprofile

Der Arkéa-Fall folgt nur wenige Tage auf den Angriff auf Binance über 6,3 Milliarden Dollar, den Decrypt als größten bekannten Krypto-Diebstahl einordnet und den das FBI nordkoreanischen Hackern zuschreibt. Beide Fälle verbindet der Weg über Krypto-Infrastruktur, in ihrer Struktur unterscheiden sie sich jedoch deutlich.

Bei Binance traf der Angriff eine Kryptobörse direkt. Bei Arkéa geht es nach bisherigem Stand um ein klassisches Kreditinstitut, dessen Mittel über Börsenkonten abgezogen und anschließend gewaschen worden sein sollen. Kryptowährungen sind hier das Fluchtfahrzeug, nicht das Ziel. Für Ermittler ist das ein Unterschied: Die Spur beginnt im regulierten Bankensystem mit vollständigen Kundendaten, endet aber in Netzwerken, in denen Identitäten fehlen oder verschleiert sind.

So schützt du dich vor Phishing nach dem Arkéa-Angriff

Was passiert ist: Crédit Mutuel Arkéa hat am 4. November 2026 einen Cyberangriff bestätigt, der betrügerische Operationen ermöglicht hat. ZachXBT verfolgt nach eigener Darstellung über 133 Millionen Dollar, die ab dem 1. November über Konten bei Krypto-Börsen abgeflossen und unter anderem in Monero getauscht worden sein sollen; die Bank hat keine Summe bestätigt.

Bist du betroffen? Nach Angaben der Bank ist kein Kundenvermögen betroffen, verzögert wurden nur einzelne Überweisungen. Ein Bezug zu Kunden in Deutschland ist nicht bekannt. Trotzdem warnt Arkéa vor Phishing, und solche Wellen treffen nach großen Vorfällen erfahrungsgemäß auch Kunden anderer Banken, deren Namen Betrüger als Aufhänger nutzen.

1. Offizieller Kanal: Lies Mitteilungen deiner Bank nur in der Banking-App oder auf der Website, die du selbst eintippst, nie über einen Link aus einer Mail oder SMS.
2. Rückruf prüfen: Meldet sich angeblich die Bank telefonisch, legst du auf und rufst die Nummer auf deiner Bankkarte zurück.
3. Freigaben lesen: Bestätige in der TAN-App keinen Auftrag, den du nicht selbst ausgelöst hast, auch nicht zur angeblichen Sicherheitsprüfung.
4. Zugang härten: Ändere wiederverwendete Passwörter und nutze für Börsenkonten die Zwei-Faktor-Anmeldung per App statt per SMS.
5. Bestand trennen: Coins, die du nicht handelst, liegen auf einer eigenen Hardware-Wallet besser als auf einem Handelskonto, und deinen Wiederherstellungssatz gibst du nie heraus.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Einlagensicherung und Kryptowerte: Was bei einem Bankhack geschützt ist

Die gesetzliche Einlagensicherung schützt Guthaben auf Giro-, Tagesgeld- und Festgeldkonten, wenn eine Bank ausfällt. Kryptowerte fallen nicht darunter, auch dann nicht, wenn du sie über deine Hausbank gekauft hast. Für sie greift ein anderer Mechanismus: Nach MiCA muss ein zugelassener Anbieter die Kryptowerte seiner Kunden getrennt vom eigenen Vermögen halten. Geht der Anbieter in die Insolvenz, gehören die Coins weiterhin dir.

Gegen einen Diebstahl beim Anbieter selbst hilft diese Trennung allerdings nur begrenzt. Ob und wie ein Anbieter Kunden nach einem Hack entschädigt, hängt von seinen Rücklagen, Versicherungen und seiner Geschäftspolitik ab. Im Fall Arkéa stellt sich die Frage nach Angaben der Bank nicht, weil Kundenvermögen unberührt geblieben sei; den Schaden trägt demnach die Gruppe.

Arkéa-Hack: Die Summe bleibt offen, bis die Bank Zahlen nennt

Gesichert sind der Angriff und die Zusicherung der Bank, dass Kundenvermögen unberührt ist. Die Zahl von mehr als 133 Millionen Dollar stammt bislang allein von ZachXBT, ebenso der Vorwurf der verspäteten Offenlegung. Wie hoch der Schaden tatsächlich ist und ob Teile zurückgeholt werden können, hängt von den weiteren Angaben der Bank und der Ermittler ab. Unabhängig davon lohnen drei Schritte:

1. Prüfe, ob die Plattform, über die du Kryptowerte kaufst, eine MiCA-Zulassung besitzt, etwa anhand unserer Liste der regulierten Kryptobörsen.
2. Kläre bei einem Bankangebot, wer deine Coins verwahrt und ob du sie an eine eigene Wallet auszahlen kannst; den Stand bei Sparkassen und Volksbanken findest du im Überblick zum Sparkassen-Kryptohandel.
3. Verlagere Bestände, die du langfristig hältst, auf ein eigenes Gerät; passende Modelle zeigt der Hardware-Wallet-Vergleich.

(Stand: 5. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)