Last Updated on 2026年11月9日 by Co-Founder/ Researcher
攻撃を受けたのはフランスの銀行で、資金の出口は暗号資産だったとみられています。銀行が公表する2日近く前には、調査者が資金の流れ込んだアドレスを公開しており、その動きは誰でも台帳で確かめられました。一方で、銀行の口座とその資金を結ぶ線は、公表資料のどこにもまだ引かれていません。
仏の協同組合銀行グループ Crédit Mutuel Arkéa は2026年11月4日、攻撃を受けて不正な取引が行われたと公表した。同社によると、攻撃者は委託先のプラットフォームを経由して侵入し、同社自身の口座から他の銀行へ資金を移した。資金は暗号資産に換えられた可能性がある。顧客の資産に影響はなく、資金の一部はブロックしたという。被害額は算定中としている。報道された1億1800万ユーロ（1億3300万ドル）については確認せず、桁感だけを認めた。オンチェーン調査者のZachXBT氏は、窃取額を1億3300万ドル超と推計している。
From: Crédit Mutuel Arkéa annonce avoir été victime d’une attaque（Crédit Mutuel Arkéa、2026年11月4日）
【編集部解説】
フランスの銀行が攻撃を受けました。攻撃者は銀行自身の口座から資金を動かし、その出口として暗号資産が使われたとみられています。これまで Crypto Verse で扱ってきた流出事案の多くは、取引所やプロトコル、ウォレットといった、暗号資産を扱う側が被害の舞台でした。今回は被害を受けたのが伝統的な銀行で、暗号資産は「入口」ではなく「出口」の側にあります。
Arkéa の説明では、攻撃者は委託先のプラットフォームを経由して侵入し、銀行が自己勘定で使う口座から他行へ送金しました。顧客口座は使われていません。委託先の名前は公表されていません。外部サービスとの接続が侵入の経路になった点は、委託先に依存するリスクを示しています。先日の Coincheck の送金停止でも、外部の審査サービスに起きた問題で利用者の送金が止まりました。経緯は異なりますが、「自社の外にある仕組みが、自社のお金の通り道になっている」点は共通しています。
この事案では、銀行の公表より前から、資金の動きが公開台帳の上で確かめられる状態にありました。
ZachXBT氏が窃取に使われたアドレスとして公開した15件を確かめると、UTCの11月1日12時25分から11月2日16時31分にかけて、合計で約1億863万ドル分のUSDCが入金されています。送金元は、Etherscan で Kraken のホットウォレットとラベル付けされたアドレスが呼び出すコントラクトと、Crypto.com のラベルが付いたアドレスなど、大手取引所に結びつくアドレスでした。ZachXBT氏は、UTCの11月2日12時28分、銀行名を伏せたまま「EUの組織が1億600万ドル超を失った疑いがある」と投稿し、このうち11件のアドレスを公開しました（投稿はその後編集されており、引用は現在の文面です）。残る4件は、翌11月3日の追加投稿で公開されています。Arkéa が攻撃を公表したのは11月4日です。同社のFAQは、声明をパリ時間13時に配信したと記しています。
警告から公表までは2日足らずです。ただし、Arkéa がいつ攻撃を検知したのかは公表されていません。銀行は、攻撃を検知した時点で所管の当局と監督当局に連絡し、予防措置として一部の取引を一時停止したと説明しています。「銀行より先に外部が気づいた」とまでは言えません。言えるのは、銀行の公表を待たなくても、資金の動きを誰でも確かめられる手がかりが、公開された台帳の側にあったということです。
もう一つ、台帳から読み取れる事実があります。ZachXBT氏が後から追加した4件のうち2件には、最初の警告から約3時間後の11月2日15時46分から16時31分（UTC）にかけて、計約1720万ドル分のUSDCが入っていました。「一部の引き出しは最初の開示の後に行われた」という同氏の指摘は、オンチェーンの記録と合っています。
ZachXBT氏はさらに、適切な開示がなかったために、EUの法執行機関なら凍結できたはずの3000万ドル超が洗浄されたと主張しています。これは同氏の見立てで、検証された数字ではありません。銀行の説明と並べて読むべき論点です。
二つめの論点は、資金を止められる場所がどこにあったかです。
銀行の説明と ZachXBT氏の報告は、資金の経路の別々の区間を語っています。銀行が説明しているのは、自社口座から他行への取引と、その資金が暗号資産に換えられた可能性までです。ZachXBT氏が報告しているのは、複数の取引所の口座からUSDCとUSDTが引き出され、ETHへの交換、即時交換サービス、プライバシー型暗号資産のMoneroへの交換、複数チェーンへのブリッジへと進んだ流れです。両者をつなぐ部分、つまり銀行から出た資金がどの取引所の口座に入ったのかは、公表資料からは確認できません。
そのうえで、取引所が持つ手段を見ておきます。取引所は、自社が管理する顧客口座の利用や出金を制限できます。一方で、外部のウォレットへ送り出した後の資金を、口座の制限だけで取り戻すことはできません。Cointelegraph の11月3日の記事によると、Kraken は同メディアに対し、関連する口座を制限し、法執行機関の回収に協力していると答えました。自社のシステムや顧客口座は侵害されていないとも説明しています。Crypto.com は、事案に関係する資金が自社のプラットフォームを通って動くのを止める措置をとったと説明し、利用者の資金は安全だとしています。両社は、関連する口座や資金の動きを制限する手段を実際に使ったと説明しています。
取引所の外に出た後も、USDCやUSDTのまま残っている資金については、発行体が送受信を凍結できます。再入金先の取引所での口座制限や、司法当局による差し押さえという手段もあります。ただし、ETHやMoneroに交換された後の資金には、発行体の凍結は及びません。ZachXBT氏が公開した15件の第1段アドレスに残るUSDCとUSDTは、11月9日時点で合計約3200ドル分です。資金はすでに次のアドレスへ移っています。11月1日から2日までの入金について、各アドレスで最後の入金があった時刻から、送り出したUSDCの累計がその期間の入金合計の99%に達した時刻までを測ると、15件のうち11件は30分以内、3件は31分から約13時間でした。残る1件は、最後の入金より前に99%に達していました。
ここに Crypto Verse が追いかけてきた問いが重なります。発行体の凍結や取引所の口座制限は、利用者の主権の観点からは「中央の誰かが止められる」仕組みです。過去の記事でも、凍結の定義が定まっていない問題や、流出資金を止める権限は誰のものかを扱ってきました。今回、取引所の口座制限は、盗まれたとされる資金を追う側で使われました。止める権限がどこにあり、どの手続きで使われるのかが見えていることが、使う側にも使われる側にも信頼の土台になります。
被害額は、まだ一つに定まっていません。
- ZachXBT氏の推計は1億3300万ドル超（約210億円）。取引所から引き出されたUSDCとUSDTをもとにした数字
- 報道で広まった1億1800万ユーロ（約210億円）。1億3300万ドルとあわせて報じられた。銀行はこの具体額を確認せず、「桁感」だけを認めている
- AFPによると、銀行は暫定推計として約1億ユーロ（約178億円）を挙げた
- 15件のアドレスに入ったUSDCは約1億863万ドル（約172億円）
円換算は、2026年11月4日の欧州中央銀行の参照レート（1ユーロ＝1.1267ドル＝178.30円、1ドル＝約158円）によります。15件のアドレスに入ったUSDCの額と ZachXBT氏の推計は、集計の対象が異なります。銀行は11月4日時点で、影響額を算定中としていました。資金のブロックや回収の分も含め、最終的な損失額はまだ示されていません。
捜査も動いています。AFPによると、パリ検察のサイバー犯罪部門は11月4日に銀行の告訴を受けて捜査を開始し、仏警察の対サイバー犯罪の専門部署に担当させました。同じくAFPによると、Crédit Mutuel 全国連合会の会長は11月6日のテレビ出演で、Arkéa がすでに資金の一部を回収したと述べました。回収額は明らかにされていません。
日本でも、銀行がステーブルコインやトークン化預金に関わる取り組みが進んでいます。今回の事案では、ZachXBT氏が公開したアドレスを通じて、Ethereum上のUSDCの動きを、銀行の外にいる人も同じように確かめることができました。一方で、その資金と銀行の口座との対応や、Moneroに交換された後の経路までは、公開台帳だけでは確かめられません。公開台帳で見える区間と見えない区間がはっきりしたことが、この事案の示したものだと私は考えます。見える区間では、銀行の外にいる人も同じ記録を見て動けます。この接続面をどう設計し、誰がどの時点で止める権限を持つのか。それを詰めていくことが、ステーブルコインを社会の基盤として受け入れるための次の作業になります。
【用語解説】
ステーブルコイン
米ドルなどの法定通貨と価値が連動するよう設計された暗号資産。USDCやUSDTは、発行体が特定のアドレスの送受信を止める（凍結する）権限を規約で定めている。
USDC
米Circleが発行する米ドル連動型のステーブルコイン。Ethereumなど複数のブロックチェーンで流通する。
USDT
Tetherが発行する米ドル連動型のステーブルコイン。複数のブロックチェーンで流通する。
オンチェーン
ブロックチェーン上に記録されたデータや取引のこと。Ethereumのような公開型のブロックチェーンでは、誰でも記録を閲覧できる。
ホットウォレット
インターネットに接続した状態で運用されるウォレット。取引所が顧客の出金を処理するために使うことが多い。
自己勘定
銀行が顧客のためではなく、自社の計算で行う取引や、そのために使う口座のこと。本記事では、Arkéaが説明した「compte propre」を指す。
即時交換サービス
利用者が送った暗号資産を、別の銘柄に交換して送り返すサービス。口座の開設や本人確認の扱いはサービスによって異なる。
Monero（XMR）
送信者・受信者・金額を公開台帳の上で秘匿する設計のプライバシー型暗号資産。取引の追跡が難しい。
ブリッジ
異なるブロックチェーンの間で資産を移すための仕組み。
【参考リンク】
Crédit Mutuel Arkéa（外部）
ブルターニュと南西部の Crédit Mutuel 連合会と、約40の子会社からなる仏の協同組合銀行グループ。総資産は2115億ユーロ。
ZachXBT（Telegram「investigations」）（外部）
オンチェーン調査者ZachXBT氏の公開チャンネル。本件では11月2日に警告と11件のアドレスを、翌日に4件を追加で投稿した。
Kraken（外部）
米国発の暗号資産取引所。本件に関連する口座を制限し、法執行機関の回収に協力していると Cointelegraph に説明した。
Crypto.com（外部）
暗号資産取引所・ウォレットを運営する企業。本件に関係する資金が、自社のプラットフォームを通って動くのを止めたと説明した。
Circle｜USDC（外部）
米ドル連動型ステーブルコインUSDCの発行体による公式ページ。米ドルと1対1で償還できることや、準備資産の情報を掲載する。
Tether（外部）
米ドル連動型ステーブルコインUSDTの発行体の公式サイト。トークンの凍結に関する規定は、サイト内の規約（Legal）のページにある。
Etherscan（外部）
Ethereumのブロックエクスプローラー。アドレスや取引の記録と、運営側が付けたラベルを閲覧できる。本記事のラベルもここで確認した。
ECB Data Portal（外部）
欧州中央銀行の統計ポータル。本記事の円換算に使った、2026年11月4日のユーロの参照レート（対ドル・対円）を公開している。
【参考記事】
Crédit Mutuel Arkéa: cyberattaque pour près de 100 millions d’euros, enquête ouverte（外部）
AFP配信（2026年11月4日）。銀行による約1億ユーロの暫定推計と、パリ検察のサイバー犯罪部門による捜査開始を報じた。
Cyberattaque: Crédit Mutuel Arkéa a récupéré “une partie” des 100 millions d’euros dérobés（外部）
AFP配信（2026年11月6日）。Crédit Mutuel 全国連合会の会長が、資金の一部回収をテレビで語った。回収額は示していない。
Kraken restricts accounts linked to suspected $133M EU crypto theft（外部）
Cointelegraph（2026年11月3日）。KrakenとCrypto.comが本件に関連する口座や資金を制限したと答えた。
Hackers pull off $133 million French bank heist via service provider（外部）
BleepingComputer（2026年11月7日）。委託先経由の侵入と、ZachXBT氏を出典とする資金移動図を伝えた。
【Crypto Verse関連記事】
フランスの協同組合銀行 Crédit Mutuel Arkéa から不正に動かされた資金は、暗号資産を出口に使ったとみられています。委託先を経由した侵入、取引所による口座の制限、ステーブルコインの発行体による凍結、公開台帳での追跡という4つの論点に沿って過去の記事を読むと、資金を止める権限がどこにあり、どこまで外から確かめられるのかが見えてきます。
外部の仕組みへの依存
Coincheckが暗号資産の送金を再開、止まったのは外部の審査サービスだった
直前姉妹記事（2026年11月8日）。外部サービスの障害で送金が止まった事例です。本件と同じく、自社の外の仕組みがお金の通り道です。
止める権限は誰にあるか
Binance流出、Arbitrumが署名なしで資金を移転 止める権限は誰のものか
流出した資金をチェーンの側が動かした事例です。本件で取引所の口座制限が使われたことと並べると、止める権限の置き場所の違いが見えます。
USDC vs USDT：流動性・透明性・リスクから読み解くステーブルコインの構造的比較
本件の資金はUSDCとUSDTで引き出されたと報告されています。2つの発行体の仕組みの違いを確かめるための基礎記事です。
取引所の窓口で見るもの
日立がAML監視を商用化、「高リスク」と判定された側に訂正の道はあるか
取引所が口座や資金を制限するとき、判断の材料になるのがAML監視です。その判定で「高リスク」とされた側から仕組みを考えます。
公開台帳で追う
オンチェーンデータから追跡するトランザクション・フローの観測手法：Etherscanを用いた事実の解剖
本件では、調査者が公開した15件のアドレスから資金の動きを確かめました。そのとき使うエクスプローラの読み方を解説した記事です。
暗号資産（仮想通貨）追跡サービスとは？オンチェーン分析とAMLコンプライアンスの最前線
本件の追跡は、個人の調査者が公開したアドレスから始まりました。追跡サービスがどこまで見え、どこから見えないのかを整理した記事です。
USDCは35チェーン、日本の窓口はEthereum1本という現実
本件で確かめたのはEthereum上のUSDCの動きです。USDCは35のチェーンで発行され、追う範囲はチェーンごとに分かれます。
銀行と台帳の接続
21金融機関のステーブルコイン新会社―利息を封じた側が発行体に回る
本記事の結びで触れた、銀行とステーブルコインの接点です。三菱UFJ銀行を含む21の金融機関が、発行体の側に回る構想を扱っています。
【編集部後記】
この記事で引用したZachXBT氏の最初の警告には、「編集済み」の表示が付いています。いま読める文面が、11月2日に投稿されたときと同じかどうかは、外からは分かりません。
一方で、11月1日から2日にかけて15件のアドレスへ入ったUSDCの記録は、ブロック番号と時刻ごと台帳に残り、誰が見ても同じ数字になります。警告は書き換えられても、警告が指さした先の記録は書き換えられない。その非対称こそが、銀行の外にいる人が事案を確かめられる理由なのだと思います。
——————–
※本記事は情報提供を目的としており、投資助言ではありません。
詳細は当サイトの免責事項をご確認ください。
——————–