في غضون ساعات، خرجت تحويلات مالية تُقدّر بنحو 100 مليون يورو من الحساب المصرفي الخاص بمجموعة Crédit Mutuel Arkéa الفرنسية، وانتقلت إلى مؤسسات مصرفية أخرى، قبل أن تظهر آثارها في حسابات على منصات لتداول العملات المشفرة. لم يحتج المهاجمون إلى اختراق حسابات العملاء أو الاستيلاء على بياناتهم؛ فقد وصلوا إلى حساب البنك نفسه واستخدموه لتنفيذ التحويلات.
وأعلن البنك في 4 نوفمبر تعرضه لهجوم سيبراني متطور من مصدر خارجي، مؤكداً أن أموال العملاء لم تتأثر. لكن تفاصيل الواقعة كشفت مساراً أكثر تعقيداً: دخول عبر منصة أحد مقدمي الخدمات، وتحويلات من حساب المؤسسة إلى بنوك أخرى، ثم سحب مبالغ كبيرة من منصات تداول العملات المشفرة وتوزيعها على مئات المحافظ الرقمية. فكيف جرت السرقة؟ وأين ذهبت الأموال بعد خروجها من النظام المصرفي؟.
بحسب "التوضيحات الرسمية التي نشرها البنك لم يدخل المهاجمون إلى المجموعة عبر بنك Fortuneo التابع لها ويعمل في الخدمات المصرفية عبر الإنترنت، كما ذكرت تقارير أولية. وإنما استخدموا منصة أحد مقدمي الخدمات الخارجيين، ومنها وصلوا مباشرة إلى المجموعة المصرفية. فيما لم يكشف البنك اسم مقدم الخدمة أو طبيعة المنصة، كما لم يوضح الثغرة التي استُخدمت أو الصلاحيات التي حصل عليها المهاجمون. واكتفى بوصف الهجوم بأنه متطور ومن مصدر خارجي، نافياً أن يكون ناتجاً عن خطأ بشري داخل المؤسسة.
وهذا يعني أن نقطة الدخول لم تكن حساباً مصرفياً لعميل، ولا منصة Fortuneo، بل نظاماً تابعاً لطرف خارجي يرتبط بالبنك بتقديم خدمة. ويُعرف هذا النمط من الهجمات باستهداف سلسلة التوريد، حين يستغل المهاجمون نقطة اتصال لدى مورد أو مقدم خدمة للوصول إلى المؤسسة التي يتعامل معها.
خروج الأموال
بعد الوصول إلى المجموعة، استخدم المهاجمون الحساب المصرفي الخاص بـCrédit Mutuel Arkéa لتنفيذ تحويلات إلى مؤسسات مصرفية أخرى، ومنها انتقلت الأموال لاحقاً إلى منصات متخصصة لتحويلها إلى عملات مشفرة، وفق ما أوضحه البنك. وتكمن أهمية هذه الخطوة في أن الأموال لم تُسحب من حسابات العملاء، بل من حساب المؤسسة نفسها. وأكد البنك أن حسابات عملائه لم تُستخدم في التحويلات، وأن الواقعة لم تؤثر على أرصدتهم المالية، وإن تسببت في تأخير تنفيذ بعض التحويلات مؤقتاً.
وقدّرت "وكالة فرانس برس" قيمة المعاملات الاحتيالية بنحو 100 مليون يورو، أي ما يعادل 112 مليون دولار. لكن البنك لم يثبت حصيلة نهائية للخسائر، وقال إنه لا يؤكد رقم 118 مليون يورو، أو 133 مليون دولار، الذي تداولته تقارير صحفية، وإن تقييم المبالغ المتأثرة لا يزال مستمراً، وبعد انتقال الأموال إلى منصات العملات المشفرة، أمكن تتبع جزء كبير من حركتها عبر بيانات البلوك تشين، وهي السجلات الرقمية التي توثق التحويلات بين المحافظ.
وفي تحليل نشرته شركة "Bitquery المتخصصة في تتبع معاملات البلوك تشين"، رصدت الشركة خروج 126.04 مليون دولار من حسابات على ثلاث منصات هي Kraken وCrypto.com وOKX، خلال يومي الأول والثاني من نوفمبر، في صورة عملة USDC المستقرة المرتبطة بالدولار. واتجهت المبالغ أولاً إلى 17 محفظة رقمية، قبل أن تتوزع لاحقاً على 526 عنواناً.
ولا يعني هذا الرقم أن البنك أعلن خسارة 126 مليون دولار؛ فهو إجمالي التحويلات التي تتبعتها Bitquery على منصات العملات المشفرة، بينما ظل تقدير البنك الأولي نحو 100 مليون يورو. كما أن الشركة لم تتمكن من تفسير الفارق بين ما رصدته وتقدير المحقق المستقل ZachXBT، الذي رفع تقديره إلى أكثر من 133 مليون دولار بعد إضافة عمليات سحب أخرى.
وتكشف بيانات المحافظ أن 12 محفظة من أصل 17 سبق أن تلقت تحويلات من منصات التداول نفسها قبل الواقعة، وحصلت على نحو 79% من الأموال المرصودة. وكان بعضها مستخدماً منذ أشهر، بما في ذلك محفظة تلقت أول تحويل من منصة Kraken في مايو 2026. أما المحافظ الخمس الأخرى فلم يكن لها سجل سابق، واستقبلت معاً نحو 26 مليون دولار.
لماذا تحركت الأموال بهذه السرعة؟
لم تبقَ الأموال في المحافظ الأولى إلا وقتاً قصيراً. فبحسب تحليل Bitquery، انتقلت معظم التحويلات إلى عناوين جديدة خلال دقائق، وكان متوسط الانتظار قبل نقل عملة USDC إلى محفظة أخرى نحو خمس دقائق. كما استقبلت إحدى المحافظ 43 عملية سحب من Kraken خلال 91 دقيقة، لم تتجاوز كل منها 50 ألف دولار.
وبعد وصول الأموال، اتخذت مسارات مختلفة. تحول نصف المبلغ تقريباً إلى عملة إيثيريوم خلال ساعات، بينما انتقل جزء آخر إلى عملة DAI المستقرة، وخرجت مبالغ عبر منصات تبديل فوري وجسور تربط شبكات بلوك تشين مختلفة. ورصدت الشركة أن مسار LI.FI، وهو خدمة تجمع بين تبديل العملات ونقلها بين الشبكات، استقبل نحو 36.09 مليون دولار.
كما أشار التحليل إلى انتقال جزء من الأموال عبر خدمة مرتبطة بتبديل العملات المشفرة إلى عملة مونيرو، التي توفر مستوى أعلى من الخصوصية في تتبع المعاملات؛ وهو ما يجعل رصد مسار تلك المبالغ لاحقاً أكثر صعوبة.
وفي لقطة رصدتها Bitquery عند الساعة 08:47 بالتوقيت العالمي يوم 5 نوفمبر، ظل نحو 37.26 مليون دولار في محافظ على شبكة إيثيريوم ربطتها بالجهة المسؤولة عن التحويلات، معظمها في صورة إيثيريوم. ورصدت الشركة تجميد نحو 1.14 مليون دولار من عملة USDT بواسطة شركة Tether، بينما لم تكن شركة Circle قد جمّدت أرصدة USDC المتبقية التي رصدتها، والبالغة نحو 1.71 مليون دولار.
هذه الأرقام لا تمثل حصيلة نهائية للأموال المستردة، وإنما صورة لحركة الأصول في وقت محدد؛ إذ كانت مبالغ أخرى قد غادرت المحافظ المرصودة عبر جسور وخدمات تبديل. وقال البنك إن جزءاً من الأموال المتأثرة جرى تجميده، وإن جهود استرداد الباقي مستمرة.
وعلى مستوى العملاء، أكد البنك عدم تأثر أرصدتهم، مع تأخر تنفيذ بعض التحويلات مؤقتاً، قبل استئناف الغالبية العظمى من العمليات صباح الرابع من نوفمبر بعد اتخاذ إجراءات تأمين إضافية. ويضم Crédit Mutuel Arkéa نحو 5.8 مليون عميل، وتبلغ أصوله 211.5 مليار يورو، وفق بيانات نقلتها وكالة رويترز ونشرتها "شبكة CNA". وفتحت النيابة العامة في باريس تحقيقاً رسمياً في الواقعة.
