要約：ZachXBTは、1億3,300万ドル超がFortuneoを経由して暗号資産関連の経路に流れたと追跡。銀行はFortuneoが侵入口だったことを否定し、攻撃は第三者サービスプロバイダーのプラットフォームを通じて行われたと説明しています。
11月4日、Crédit Mutuel Arkéaは、10月末にZachXBTが明らかにした資金盗難事件について、初めて声明を発表しました。銀行の説明と調査ジャーナリストの見解は、事件の核心的な帰属をめぐって食い違っています。
銀行は不正取引が発生したことを認め、資金が銀行の自己口座から他の金融機関へ流出し、さらに専門プラットフォームを通じて暗号資産に交換された可能性があると認めました。一方で、Fortuneoが攻撃の「侵入口」だったことは明確に否定しています。「報道とは異なり、Fortuneoを経由した侵入はありません。攻撃者は、当社のサービスプロバイダーのプラットフォームを通じて、Crédit Mutuel Arkéaに直接侵入しました」
同日、暗号資産専門記者のGrégory Raymondは別の見解を示した。詐欺師はFortuneoから送金を開始し、受取人の名前を自分で指定することで、銀行による受取人の本人確認を回避できたという。資金は着金後にステーブルコインへ交換され、外部ウォレットに引き出された。
資金が実際に動いたのは確かだ。しかし、「どこから出金が承認されたのか」と「どこからの入金が許可されたのか」は別の問題だ。銀行が答えているのは後者で、調査が明らかにしようとしているのは前者だ。
オンチェーンで確認できる部分
ZachXBTが追跡したマネーロンダリングの総額は、当初、ステーブルコインで1億600万ドルと推定され、その後1億3,300万ドル超に上方修正された。Grégory Raymondによると、1億3,300万ドルはオンチェーンで確認できる部分にすぎず、実際の損失はさらに大きい可能性がある。
資金の流れを示す時系列は比較的明確だ。Bitqueryのデータによると、最初の出金は11月1日12:25（UTC）にCrypto.comから行われ、その44分後にはKrakenから高頻度の流出が確認された。11月1日から2日にかけての夜間、約6,300万ドル相当のUSDCとUSDTがUniswap（またはUniswapX）を通じて27,553 ETHに交換され、一部はその後、クロスチェーン経路を経てモネロに換えられた。
Krakenは11月2日の夜に関連資金の凍結を開始し、自社のセキュリティシステムは侵害されておらず、顧客口座が第三者に乗っ取られた事実もないと表明した。Crypto.comも凍結措置を講じ、同様に自社プラットフォームは侵害されていないと述べた。
両取引所の声明が正しければ、侵害されたのは暗号資産プラットフォームの口座システムではなく、法定通貨がプラットフォームに入る前の段階、つまり銀行側の承認と送金のプロセスということになる。
銀行は何を否定し、何を認めたのか
銀行の発表は、一文ずつ分けて読む価値がある。否定したのは「Fortuneoが入口だった」という点であり、銀行口座から資金が流出したことではない。また、「銀行自身の口座が取引に利用された」ことは認めつつ、アクセス権限の出所は社名非公表の第三者サービス事業者にあるとしている。
銀行は原因が「内部の人為的ミス」だったことも否定した。「いいえ。これは外部からの高度な攻撃であり、現在は制御下にある」と述べている。この否定は、ハッカー界隈に近い情報源の見解と食い違う。後者は、内部関係者が誘導されて協力させられたことが脆弱性の原因だった可能性があるとみている。つまり、経営幹部になりすまして従業員に送金を実行させる「CEO詐欺」の亜種だという。
この二つの見解の食い違いは、「送金があったかどうか」ではなく、承認がどのように取得されたかにある。外部プラットフォームへの侵入が原因と最終的に判断されれば、Fortuneoの防御は技術面で直接突破されていなかった可能性がある。一方、従業員が誘導されたことが原因なら、「入口はFortuneoではない」という表現は字義上は正しくても、責任が銀行の外に移るわけではない。人員とプロセスの安全確保も、銀行の防御の一部だからだ。
凍結と回収：異なる二つの数字
銀行は発表の中で、「資金の一部は凍結され、その他の回収措置も進めている」と述べた。同時に、1億1,800万ユーロ（1億3,300万ドル）という具体的な数字は確認せず、規模感のみを認めた。最終的な損失額はなお評価中だという。
凍結が行われたのは、資金の一部がすでにETHに換えられ、クロスチェーン経路に分散した後だった。オンチェーンで確認できる1億3,300万ドルと、銀行が最終的に認定する損失額が単純に一致することはない。銀行の「関連する金額がCrédit Mutuel Arkéaの財務力を損なうことはない」という表現は、安心させるためのものであり、情報開示ではない。
規制当局の関与について、公開情報によると銀行はフランス銀行（Banque de France）に通知している。銀行の発表では、攻撃の発生源を特定するため「管轄権を持つ司法・法執行機関」と協力しているとも述べている。しかし、「司法当局が経営幹部の権限偽造について正式に捜査を開始した」という具体的な説明は、公式声明にも独立した情報源にも裏付けられていない。確認待ちの情報として扱うべきであり、確定した事実として筋書きに含めるべきではない。
今後注目すべき点
第三者サービス事業者の身元が公表されるかどうか：事業者名が明かされなければ、「入口はFortuneoではない」という見立てを独立して検証できない。その事業者が他の金融機関にもサービスを提供しているなら、リスクにさらされたのはArkéaだけではない可能性がある。
凍結額と最終損失額の基準が収束するかどうか：銀行は1億3,300万ドルという規模感を認めているが、具体的な金額は確認していない。「一部の資金」の凍結額はいくらか、回収可能な割合はどれほどか。これらは「総額」よりも確かな指標となる。
原因の見立ては「外部プラットフォーム」から「人員／プロセス」へと移るのか。銀行は内部の人為的ミスを明確に否定した一方、調査報道記者の情報源は「CEO詐欺」の亜種を示唆している。どちらの見立てを裏付ける証拠が先に明らかになるかで、責任の所在が決まる。
司法当局の関与が正式に確認されたかどうか：フランス銀行が事案を把握しているというのは、行政上の報告義務を果たしたということであり、刑事事件として捜査が開始されたことを意味しない。銀行の発表とは別に、司法当局または規制当局の声明があるかどうかが、「企業の事案」と「法執行機関が関与する事案」を分ける境界線となる。
1億3,300万ドルはすでに帳簿から消えている。これから見るべきなのは、誰が最初に「入口」という言葉を口にしたかではない。どの筋書きが最後まで証拠に裏付けられるかだ。
注：内容は参考情報です。ご自身でも調査してください。