Crédit Mutuel Arkéa gehackt: Franse bank bevestigt aanval, ZachXBT volgt 133 miljoen dollar

De Franse coöperatieve bank Crédit Mutuel Arkéa heeft op woensdag 4 november 2026 een cyberaanval bevestigd die volgens de bank "frauduleuze operaties" mogelijk maakte. On-chain-onderzoeker ZachXBT koppelt de aanval aan uitstromen van meer dan 133 miljoen dollar die via cryptobeurzen, stablecoins, ether en Monero zouden zijn gelopen. De bank noemt tot nu toe geen bedrag en benadrukt dat het vermogen van haar klanten niet is geraakt.

Daarmee staan twee dingen vast: een aanval die de bank zelf erkent, en een geldspoor dat een bekende blockchainanalist publiekelijk reconstrueert. Of die twee volledig bij elkaar horen, heeft Arkéa tot nu toe bevestigd noch ontkend. Dit artikel zet op een rij wat vaststaat, wat nog open is en welke voorzorgsmaatregelen bankklanten met crypto nu verstandig kunnen nemen.

Crédit Mutuel Arkéa hack: wat de bank op 4 november heeft bevestigd

Crédit Mutuel Arkéa maakt deel uit van de Crédit Mutuel-groep en is vooral geworteld in Bretagne en het zuidwesten van Frankrijk. Volgens haar eigen mededeling over de cyberaanval heeft de groep meer dan 12.000 medewerkers, bedient zij ruim 5,8 miljoen leden en klanten en komt het balanstotaal uit op 211,5 miljard euro.

In de verklaring, die het vakmedium Decrypt woensdag weergaf, schrijft de bank dat het incident "afgesloten en onder controle" is. De activiteiten worden stapsgewijs hervat nu aangescherpte beveiligingsmaatregelen van kracht zijn. Het vermogen van klanten is niet geraakt; de aanval heeft alleen de uitvoering van een aantal overboekingen vertraagd. De betrokken bedragen worden nog vastgesteld, maar zijn "in geen geval van dien aard dat zij de soliditeit en financiële gezondheid van de groep in twijfel trekken".

Arkéa zegt verder de bevoegde toezichthouders direct na ontdekking van de aanval te hebben ingelicht en uit voorzorg enkele transacties te hebben opgeschort om verdere frauduleuze bewegingen te voorkomen. De bank waarschuwt haar klanten uitdrukkelijk voor phishingpogingen in de nasleep van het incident. Of cryptoactiva direct zijn geraakt en hoe groot de schade is, heeft de bank volgens Decrypt niet becijferd.

ZachXBT en de 133 miljoen dollar: hoe het spoor via cryptobeurzen liep

ZachXBT is een pseudonieme blockchainonderzoeker die al jaren diefstallen en fraudezaken natrekt aan de hand van openbare transactiegegevens. Op maandag 2 november meldde hij volgens Decrypt dat een niet bij naam genoemde partij in de Europese Unie op 1 november mogelijk meer dan 106 miljoen dollar had verloren van rekeningen bij meerdere cryptobeurzen. De middelen zouden zijn opgenomen als USDC en USDT, stablecoins die aan de Amerikaanse dollar zijn gekoppeld.

Op dinsdag noemde hij op zijn Telegram-kanaal Crédit Mutuel Arkéa als vermoedelijk slachtoffer en omschreef hij de instelling als een "Franse bank met 235 miljard dollar aan activa". De aanval zou zich over meerdere dagen hebben uitgestrekt. In een aanvulling op dezelfde dag telde hij er nog eens 27 miljoen dollar aan beursopnames bij op, deels pas na zijn eerste publicatie. Daarmee komt hij op meer dan 133 miljoen dollar. Ook publiceerde hij vier Ethereum-adressen die hij aan de diefstal toeschrijft.

Hoe ZachXBT de bank heeft geïdentificeerd en op welke manier de aanvaller toegang kreeg tot de beursrekeningen, heeft hij volgens Decrypt niet bekendgemaakt. Hij verwacht dat het bedrag nog stijgt zodra onderhandse transacties worden meegeteld. Zulke OTC-transacties (over the counter) zijn deals die twee partijen rechtstreeks met elkaar sluiten, buiten het openbare orderboek van een beurs om; ze verschijnen niet in de beursopnames.

Witwassen via stablecoins, ether en Monero: de vermoedelijke route van de buit

De route die ZachXBT beschrijft, volgt een patroon dat onderzoekers kennen van veel grote diefstallen. Eerst wisselde de aanvaller volgens hem USDC om in ether. De reden ligt in de opzet van stablecoins: uitgevers zoals Circle kunnen USDC-tegoeden blokkeren op adressen die autoriteiten of onderzoekers melden. Wie gestolen stablecoins lang laat staan, loopt dus het risico dat ze worden bevroren. Ether heeft geen uitgever die een adres zou kunnen blokkeren.

In een tweede stap liepen de middelen volgens ZachXBT via zogeheten instant exchanges. Dat zijn wisseldiensten waar je coins zonder eigen klantaccount direct tegen andere coins ruilt; bij kleinere bedragen vragen ze vaak geen identiteitscontrole. Een deel van de buit werd vervolgens omgezet in Monero. Monero is een cryptomunt die afzender, ontvanger en bedrag van een transactie standaard verhult, zodat betalingen op de blockchain nauwelijks te volgen zijn.

Daarnaast verplaatste de aanvaller middelen via bridges naar meerdere blockchains. Een bridge is een brug tussen twee blockchains die coins aan de ene kant vastzet en aan de andere kant een tegenhanger uitgeeft. Elke stap vergroot het werk voor onderzoekers, want het spoor verdeelt zich over verschillende netwerken met elk hun eigen analysetools.

Op de markt heeft de zaak tot nu toe geen zichtbare sporen nagelaten. Monero noteerde donderdagochtend volgens CoinPaprika rond 635 dollar, 0,2 procent lager dan een dag eerder, terwijl ether in dezelfde periode 5,3 procent steeg tot ongeveer 2.430 dollar. Bij dagomzetten van miljarden verdwijnen zelfs bedragen van honderden miljoenen in het handelsvolume.

Openbaarmaking onder druk: het verwijt van ZachXBT en het antwoord van de bank

Scherper dan het bedrag is de kritiek van ZachXBT op de omgang met het incident. Voordat hij de naam noemde, schreef hij volgens Decrypt dat zijn werkhypothese was dat een grote financiële instelling in West-Europa was aangevallen en dat de zaak op dit moment "in de doofpot" ging. Hij verwijt de instelling dat zij het incident niet naar behoren heeft gemeld. Daardoor zouden opsporingsdiensten ongeveer 30 miljoen dollar aan gestolen middelen niet meer hebben kunnen bevriezen.

De bank schetst het verloop anders. Volgens haar mededeling heeft zij de toezichthouders direct na ontdekking van de aanval ingelicht en meteen tegenmaatregelen genomen. Wanneer Arkéa de aanval precies opmerkte en wanneer de melding aan de toezichthouder volgde, blijkt niet uit de openbare informatie. Het verwijt valt daarmee op dit moment niet te bevestigen of te weerleggen.

In de praktijk laat de discussie zien hoe sterk de kans op succes bij cryptodiefstal van snelheid afhangt. Beurzen en uitgevers van stablecoins kunnen tegoeden alleen bevriezen zolang die nog bij hen staan. Zijn de coins eenmaal via wisseldiensten in Monero beland, dan is terughalen doorgaans uitgesloten. De daders zijn volgens ZachXBT onbekend; hij zegt echter met "grote zekerheid" dat het niet om de Noord-Koreaanse Lazarus-groep gaat en wijst op meerdere kenmerken van het witwassen.

MiCA-vergunning en crypto bij de bank: de plannen van Arkéa voor particulieren

De timing is pijnlijk. Arkéa bereidt zich al maanden voor op cryptodiensten. Volgens een bericht van de Franse financiële krant L'Agefi uit mei, dat Decrypt aanhaalt, heeft de groep een vergunning onder MiCA aangevraagd. MiCA is de Europese verordening betreffende markten in cryptoactiva; sinds eind 2024 regelt zij wie in de EU cryptodiensten mag aanbieden en welke verplichtingen daarbij gelden. In Nederland ziet de AFM daarop toe.

Met de vergunning wil Arkéa cryptodiensten aanbieden aan de eigen particuliere klanten en die via het onderdeel Arkéa Banking Services ook als white-labeloplossing aan andere instellingen leveren. White label betekent dat een aanbieder de techniek levert en een ander bedrijf die onder eigen naam aan zijn klanten verkoopt. Of de huidige aanval gevolgen heeft voor de vergunningsprocedure, is onduidelijk; de bank heeft zich daarover nog niet uitgelaten.

Koop je nu al crypto, let dan op de vergunning van de aanbieder. Welke platforms een MiCA-vergunning hebben en waarin ze verschillen, verschilt per aanbieder en staat in het openbare MiCA-register. Een vergunning voorkomt geen hack, maar verplicht de aanbieder wel tot gescheiden bewaring van klantactiva, tot beveiligingsmaatregelen en tot meldingen aan de toezichthouder.

Handel je crypto via een app van een bank of broker, ga dan na wie de coins bewaart, of die bewaarder zelf onder toezicht staat en of je je tegoed naar een eigen wallet kunt overboeken; welke aanbieders dat toestaan, zie je in onze vergelijking om bitcoin te kopen.

Binance-hack en Arkéa-aanval: twee zaken, twee daderprofielen

De zaak-Arkéa volgt slechts enkele dagen op de aanval op Binance van 6,3 miljard dollar, die Decrypt als de grootste bekende cryptodiefstal beschouwt en die de FBI aan Noord-Koreaanse hackers toeschrijft. Beide zaken delen de route via crypto-infrastructuur, maar in hun opbouw verschillen ze duidelijk.

Bij Binance trof de aanval rechtstreeks een cryptobeurs. Bij Arkéa gaat het naar de huidige stand om een klassieke kredietinstelling waarvan de middelen via beursrekeningen zouden zijn weggesluisd en daarna witgewassen. Cryptomunten zijn hier het vluchtvoertuig, niet het doelwit. Voor onderzoekers maakt dat verschil: het spoor begint in het gereguleerde bankstelsel met volledige klantgegevens, maar eindigt in netwerken waarin identiteiten ontbreken of zijn verhuld.

Zo bescherm je je tegen phishing na de aanval op Arkéa

Wat er is gebeurd: Crédit Mutuel Arkéa heeft op 4 november 2026 een cyberaanval bevestigd die frauduleuze operaties mogelijk maakte. ZachXBT volgt naar eigen zeggen meer dan 133 miljoen dollar die vanaf 1 november via rekeningen bij cryptobeurzen zouden zijn weggevloeid en onder meer in Monero zouden zijn omgewisseld; de bank heeft geen bedrag bevestigd.

Ben jij getroffen? Volgens de bank is geen klantvermogen geraakt; alleen enkele overboekingen liepen vertraging op. Een verband met klanten buiten Frankrijk is niet bekend. Toch waarschuwt Arkéa voor phishing, en de ervaring leert dat zulke golven na grote incidenten ook klanten van andere banken treffen, wier namen oplichters als haakje gebruiken.

1. Officieel kanaal: lees berichten van je bank alleen in de bankapp of op de website die je zelf intypt, nooit via een link uit een e-mail of sms.
2. Terugbellen: belt iemand namens de bank, hang dan op en bel het nummer op je bankpas terug.
3. Goedkeuringen lezen: bevestig in je authenticatie-app geen opdracht die je niet zelf hebt gegeven, ook niet voor een zogenaamde veiligheidscontrole.
4. Toegang versterken: wijzig hergebruikte wachtwoorden en gebruik voor beursaccounts tweestapsverificatie via een app in plaats van per sms.
5. Bezit scheiden: coins waarmee je niet handelt, staan beter op een eigen hardware wallet dan op een handelsaccount, en je herstelzin geef je nooit af.

De basis van veilig bewaren lees je in onze gids crypto veilig bewaren, geschikte apparaten vergelijkt onze hardware wallet vergelijking.

Depositogarantie en cryptoactiva: wat beschermd is bij een bankhack

Het wettelijke depositogarantiestelsel beschermt tegoeden op betaal-, spaar- en termijnrekeningen als een bank omvalt. Cryptoactiva vallen daar niet onder, ook niet als je ze via je eigen bank hebt gekocht. Voor crypto geldt een ander mechanisme: onder MiCA moet een vergunde aanbieder de cryptoactiva van zijn klanten gescheiden houden van zijn eigen vermogen. Gaat de aanbieder failliet, dan blijven de coins van jou.

Tegen diefstal bij de aanbieder zelf helpt die scheiding echter maar beperkt. Of en hoe een aanbieder klanten na een hack schadeloos stelt, hangt af van zijn reserves, verzekeringen en bedrijfsbeleid. Bij Arkéa speelt die vraag volgens de bank niet, omdat het klantvermogen onaangetast zou zijn gebleven; de schade draagt dus de groep.

Arkéa-hack: het bedrag blijft open tot de bank cijfers noemt

Vast staan de aanval en de toezegging van de bank dat het klantvermogen onaangetast is. Het bedrag van meer dan 133 miljoen dollar komt tot nu toe alleen van ZachXBT, net als het verwijt van te late openbaarmaking. Hoe groot de schade werkelijk is en of delen kunnen worden teruggehaald, hangt af van verdere informatie van de bank en de onderzoekers. Los daarvan zijn drie stappen zinvol:

1. Controleer of het platform waarop je crypto koopt een MiCA-vergunning heeft, bijvoorbeeld in het openbare MiCA-register.
2. Ga bij een bankaanbod na wie je coins bewaart en of je ze naar een eigen wallet kunt opnemen.
3. Zet bezit dat je lang aanhoudt op een eigen apparaat; geschikte modellen vind je in de hardware wallet vergelijking.

(Per 5 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)