フランスの大手銀行クレディ・ミュチュエル・アルケアが、サイバー攻撃で自社口座から不正送金が行われたことを正式に認めた。盗まれた資金は、暗号資産を扱う専門プラットフォームを通じて換金されている。
11月2日にブロックチェーン調査員のZachXBTが被害を指摘し、銀行は11月4日に声明を出した。この記事では、事件の経緯、盗まれた資金の動き、そして暗号資産業界にとっての意味を順に整理する。
伝統的な銀行のお金が暗号資産を経由して洗浄されるケースは多くない。規制やセキュリティの議論に影響を与える事件として、押さえておきたい内容だ。
仏銀行クレディ・ミュチュエル・アルケアがサイバー攻撃を公式に認める
狙われたのは銀行自身の口座だった
クレディ・ミュチュエル・アルケアは、フランス北西部のブルターニュ地方を拠点とする協同組合型の銀行グループだ。従業員は1万2,000人を超え、会員と顧客は合わせて580万人以上にのぼる。声明によると、総資産は2,115億ユーロ（約2,381億ドル）に達する。
今回の攻撃で不正送金の出どころになったのは、顧客の口座ではなく銀行自身の口座だった。送金された資金はその後、暗号資産を扱う専門プラットフォームで暗号資産に換えられている。
ユーロのような法定通貨を暗号資産に換える入り口は「オンランプ」と呼ばれる。空港の両替所で円をドルに替えるイメージに近い。犯人は銀行のお金をこの入り口に流し込み、ブロックチェーンの世界へ持ち出したことになる。
顧客資産への影響はないと強調
銀行は11月4日（水曜日）の声明で、顧客の資産は影響を受けておらず、事態はすでに封じ込めたと説明した。攻撃を確認した直後にセキュリティ対策を発動し、追加の不正送金を防いだという。
声明では「顧客の資産に影響は一切ない」と明言している。顧客側に生じたのは、一部の送金の実行が遅れたことだけだとしている。預金者の不安を抑えることを最優先にした書きぶりだ。
ZachXBTが指摘した1億3,300万ドル超の被害
オンチェーン調査で最初に表面化
事件を最初に公の場で指摘したのは、匿名で活動するブロックチェーン調査員のZachXBTだ。過去にも数多くのハッキングや詐欺の資金の流れを突き止めてきたことで知られる。
ZachXBTの手法は「オンチェーン分析」と呼ばれる。ブロックチェーン上の取引は、誰でも閲覧できる公開の台帳に記録されている。銀行の帳簿は外から見えないが、ブロックチェーンはいわばガラス張りの帳簿だ。そのため外部の人間でも、資金がどこからどこへ動いたかを追える。
ZachXBTは11月2日に被害を指摘し、損失額を1億3,300万ドル超と推計した。攻撃は数日間にわたって続いており、相対取引も絡んでいた可能性があるため、金額はさらに膨らみうるとしている。
相対取引はOTC（店頭取引 / Over The Counter）とも呼ばれる。取引所の板を通さず、当事者同士が直接売買する方法だ。ブロックチェーン上に痕跡が残りにくい部分もあり、被害の全容をつかむのを難しくしている。
銀行は金額の「規模感」を認める
銀行は正確な損失額を明らかにしていない。ただ、ZachXBTが示した数字について、桁としてはおおむね妥当だと認めた。盗まれた資金の一部はすでに凍結できたとも説明している。
声明は、最終的な金額を伝えるにはまだ早いとしたうえで、銀行の財務の健全性を揺るがす規模では決してないと強調した。総資産2,115億ユーロと比べると、推計被害額は0.1%にも満たない計算になる。経営への打撃は限定的だという主張は、数字の上では筋が通っている。
盗まれた資金はどのように動いたのか
USDCからETHへ、そしてインスタント取引所へ
ZachXBTの報告によると、犯人はまずUSDCをETH（イーサリアム）に交換していた。USDCは米ドルと1対1で価値が連動するよう設計された「ステーブルコイン」の代表格だ。
USDCには、発行元のCircleが特定のアドレスの残高を凍結できる仕組みがある。犯罪に使われた資金を止められる反面、犯人にとっては持ち続けるリスクが大きい。早い段階でETHに替えたのは、凍結を避ける狙いがあったとの見方がある。
資金はさらに、WellWalletやKyrrexといったインスタント取引所を経由した。インスタント取引所とは、短時間で通貨を交換できるサービスの総称だ。手続きが簡便なサービスほど、不正資金の通り道になりやすいと以前から指摘されている。
モネロへの変換とブリッジで追跡を困難に
次に犯人は、交換サービスのWagyuを使って資金をXMR（モネロ）に換えた。モネロは送金者、受取人、金額を外から見えにくくする仕組みを持つ「プライバシーコイン」だ。ガラス張りの帳簿の中に、すりガラスの部屋を作るような通貨と考えるとわかりやすい。
あわせて、複数のブロックチェーンをまたぐ「ブリッジ」も使われた。ブリッジは、あるチェーン上の資産を別のチェーンへ移す仕組みだ。国境をまたぐたびに通貨を両替するイメージに近く、追跡する側は経路が増えるほど手間がかかる。
要は、凍結されにくい通貨へ移し、追跡しにくい通貨へ換え、さらに複数のチェーンに散らすという多段構えだ。資金洗浄の手順として、かなり計画的だったことがうかがえる。
北朝鮮ラザルスとの関連は否定的
大規模なハッキングが起きると、真っ先に疑われるのが北朝鮮系のハッカー集団「ラザルス・グループ」だ。2025年2月に取引所Bybitから約15億ドル相当が流出した事件でも、関与が指摘された。
今回についてZachXBTは、犯人がラザルスと無関係である可能性が「高い確度で」あると述べている。国家ぐるみの組織ではないとすれば、捜査の方向性も変わってくる。別の犯罪グループが関与している可能性を含め、今後の続報を待つ必要がある。
今回の事件が暗号資産業界に投げかける課題
銀行の資金が暗号資産で「持ち出される」構図
銀行が直接狙われた事件としては、2016年のバングラデシュ中央銀行の事件が有名だ。国際送金網SWIFTが悪用され、約8,100万ドルが流出した。当時はフィリピンのカジノなどを通じて資金が洗浄された。
今回はその役割を暗号資産が担った形だ。ブロックチェーン上の送金は数分で国境を越え、一度動けば取り消しが難しい。銀行の不正送金を暗号資産プラットフォームに流し込めば、回収の難易度は一気に上がる。
一方で、ブロックチェーンの透明性が事件の発覚を早めた面もある。銀行の内部帳簿だけなら、外部の調査員が被害規模を推計することはできなかった。暗号資産は洗浄の道具にもなるが、追跡の手がかりにもなる。この両面性が改めて示されたとの見方がある。
規制とプラットフォームへの波及
EUでは、MiCA（暗号資産市場規則 / Markets in Crypto-Assets）と呼ばれる包括的な規制が2024年末から全面適用されている。送金時に送り手と受け手の情報を伝える「トラベルルール」も導入済みだ。それでも今回、銀行の資金が複数のサービスを経て暗号資産に流れた。
今後は、インスタント取引所やモネロのようなプライバシーコインへの監視がさらに強まるとみられる。EUのマネーロンダリング対策規則では、2027年以降に事業者が匿名性の高い暗号資産を扱うことを禁じる方針も示されている。今回の事件は、その流れを後押しする材料になりうる。
銀行側にも宿題が残る。暗号資産プラットフォームへの大口送金を、より早い段階で検知する体制が求められる。事件を最初に公にしたのが外部の調査員だった点は、伝統的な金融機関の監視体制に課題があることを示しているとの指摘もある。
この記事のポイント
- 仏クレディ・ミュチュエル・アルケアが、自社口座からの不正送金を伴うサイバー攻撃を公式に認めた
- ZachXBTは被害を1億3,300万ドル超と推計し、銀行もその規模感を認めたうえで一部資金を凍結した
- 犯人はUSDCをETHに替え、インスタント取引所やモネロ、ブリッジを使って追跡を難しくしていた
- ZachXBTは北朝鮮のラザルス・グループとの関連について否定的な見方を示している
- 銀行と暗号資産の接点での監視強化や、プライバシーコインへの規制議論に影響する可能性がある
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。