摘要：ZachXBT追踪超1.33亿美元经Fortuneo流向加密渠道，银行否认Fortuneo为入口，称攻击经第三方服务商平台。
11月4日，Crédit Mutuel Arkéa发布公告，首次回应ZachXBT在10月底披露的資金被盗事件。银行的版本与调查记者的版本，在核心归因上并不重合。
银行承认发生了欺诈交易，承认资金从银行自有账户流向其他金融机构，并可能进一步通过专业平台兑换为加密货币。但它同时明确否认Fortuneo是攻击的“入口”：“尽管媒体报道如此，不存在通过Fortuneo的进入。攻击者是通过我们一家服务商的平台，直接到达Crédit Mutuel Arkéa的。”
同一天，加密记者Grégory Raymond给出了另一个版本：诈骗者可以从Fortuneo发起转账并自行设定收款人姓名，从而绕过银行的收款人实名核验。资金到账后兑换为稳定币，并提现至外部钱包。
钱是真的走了。但“钱从哪里被授权转出”和“钱从哪里被允许进入”，是两个不同的问题。银行回答的是第二个，调查回答的是第一个。
链上看得见的部分
ZachXBT追踪的洗钱总额，最初估测为1.06亿美元稳定币，随后上调至超过1.33亿美元。Grégory Raymond称，1.33亿美元仅为链上可见部分，实际损失可能更高。
资金的时间线相对清晰。Bitquery数据显示，第一笔提现于UTC 11月1日12:25从Crypto.com离场，44分钟后Kraken出现高频流出。11月1日至2日夜间，约6300万美元USDC与USDT通过Uniswap（或UniswapX）兑换为27,553枚ETH，部分随后经跨链通道转为门罗币。
Kraken于11月2日夜间开始冻结相关资金，并表示其安全系统未被攻破，没有客户账户被第三方接管。Crypto.com也采取了冻结措施，同样声称平台自身未被入侵。
这意味着，如果两家交易所的声明成立，失守的环节不在加密平台的账户体系，而在法币进入平台之前的那一段——银行侧的授权与转账流程。
银行否认的是什么，承认的又是什么
银行的公告值得逐句拆开。它否认的是“Fortuneo作为入口”，但没有否认资金从银行账户流出。它承认“使用了银行自己的账户进行交易”，但将访问权限的来源归于一家未具名的第三方服务商。
银行同时否认了“内部人为错误”作为原因：“不。这是一次来自外部的精密攻击，目前已被控制。”这一否认与接近黑客圈消息源的说法存在张力。后者倾向于认为漏洞可能源于内部人员被诱导配合，即“总裁诈骗”的变种——假冒高管身份，诱使员工执行转账。
这两个版本的分歧不在于“有没有发生转账”，而在于授权是如何被获取的。如果最终归因于外部平台渗透，Fortuneo的防线在技术层面可能未被直接攻破；如果归因于内部人员被诱导，那么“入口不在Fortuneo”在字面上可能成立，但责任并不因此转移到银行之外——人员与流程安全本身就是银行防线的一部分。
冻结与追回：两个不同的数字
银行在公告中表示“部分资金已被冻结，其他追回行动正在进行”，同时明确不确认1.18亿欧元（1.33亿美元）的具体数字，只认可数量级，最终损失仍在评估中。
冻结发生在资金已经部分转换为ETH、并分散至跨链通道之后。链上可见的1.33亿美元与银行最终确认的损失金额之间，不会是一个简单的等式。银行称“涉及的金额不会削弱Crédit Mutuel Arkéa的财务实力”，这个表述的功能是安抚，不是披露。
关于监管介入，公开信息显示银行已通知法兰西银行（Banque de France）。银行公告同时称正与“主管司法和执法机构”合作以确定攻击来源。但“司法部门已正式立案调查高管权限伪造”这一具体表述，在官方声明和独立信源中没有得到交叉确认，应视为待核实，不宜作为既定事实写入叙事。
接下来看什么
第三方服务商的身份是否披露：不命名服务商，“入口不在Fortuneo”的归因就无法被独立检验。如果该服务商同时服务其他金融机构，敞口可能不止Arkéa一家。
冻结金额与最终损失的口径能否收敛：银行认可1.33亿美元的数量级，但未确认具体数字。冻结的“部分资金”规模是多少、可追回比例是多少，是比“总金额”更硬的指标。
归因方向是否从“外部平台”转向“人员/流程”：银行明确否认了内部人为错误，但调查记者的消息源指向“总裁诈骗”变种。两个方向的证据哪一方先落地，决定了责任分配的位置。
司法介入的正式确认：法兰西银行知悉事件是行政报告义务，不等于刑事立案。是否有独立于银行公告的司法或监管声明，是区分“企业事件”和“执法事件”的分界线。
1.33亿美元已经离开了账本。接下来要看的不是谁先说出“入口”这个词，而是哪一套叙事能被证据支撑到最后。
提示：内容仅供参考，请做自己的研究。