著者：深潮 TechFlow
概要： 北京時間2026年11月4日、フランスの相互信用銀行グループ、クレディ・ミュチュエル・アルケア傘下のネット銀行Fortuneoは詐欺的なサイバー攻撃を受けたことを確認した。攻撃側は銀行の送金リスク管理を迂回し、外部口座へ直接送金した。オンチェーン追跡機関は1億3,300万ドル超の資産流出を検知しており、この金額は近年の伝統的金融機関における単一のネット窃取記録を塗り替えた。日韓や米州の伝統的銀行が遭遇した外部認証情報の漏洩とは異なり、今回の事案はハッカーが商業銀行内部の中核的な出金ゲートを直接突破したことを意味する。
銀行内部の管理ゲートが破られ、暗号資産の出金が誘発
暗号資産記者Grégory Raymondの一次調査報道によると、Fortuneoの中核防衛ラインは根本から突破された。詐欺側は攻撃の過程で対外送金を直接開始する権限を掌握し、受取人名を任意に設定できたため、銀行が日常的に行う受取人実名照合の障壁を回避した。
攻撃グループは事前に虚偽の身元を使い、KrakenやCrypto.comなどの規制準拠取引所で顧客本人確認を完了していた。詐欺資金はその後、Fortuneoから実名口座情報に従って取引所のカストディアドレスへ直接送金されており、これは取引プラットフォーム自身の口座体系が破損したのではなく、失守した段階が完全に商業銀行内部のリスク管理フローに由来することを示している。
ステーブルコインの資金洗浄網、クロスチェーンとミキサー経由で沈殿
法定通貨が入金されると、ハッカーによって迅速にオンチェーン資産へと転換された。オンチェーン追跡機関Bitqueryの監視データによれば、最初の資金はUTC時間11月1日12時25分にCrypto.comから出金され、44分後にはKrakenのカストディアドレスからも高頻度の流出が相次いで確認された。
オンチェーン探偵ZachXBTの追跡によると、攻撃側の資金洗浄総額は当初1億600万ドルのステーブルコインと推計され、その後1億3,300万ドル以上に上方修正された。11月1日から2日にかけての夜間、攻撃側は約6,300万ドル相当のUSDCとUSDTを分散型取引所Uniswapを通じて集中的に27,553枚のイーサリアムに交換した。
これらのイーサリアム資産は直ちに即時交換プラットフォームやクロスチェーンチャネルへ分散注入され、一部のポジションはさらにモネロへ移されて沈殿した。業界の情報分析では、一部の資金がオフラインのOTC取引や伝統的な決済ルートで移転された可能性があるため、Fortuneoの実際のエクスポージャーはなお拡大を続けているとみられている。
世界の金融攻防は二極分化の様相を呈する
フランスのネット銀行の中核決済チャネルが直接突破される一方で、世界の他の金融機関が直面しているのはAIが駆動する側面からの情報戦である。韓国の金融監督当局は、新韓銀行やKB国民銀行など16機関が9月末からARTEXという侵入ツールによる攻撃を受け、ハッカーがClaudeやDeepSeekのモデルを呼び出して約10万件の個人信用記録を窃取したと明らかにした。
ラテンアメリカのセキュリティチームStraikerも10月にCARLIY 0Sという自動化ツールを検知した。ハッカーグループCyberCartelは複数の大規模モデルを利用して400以上の金融エンドポイントを一括で突破し、4,493件のインターフェースキーとログイン認証情報を不正に窃取した。インドステイト銀行でも同時期に3,897人分の顧客資料がダークウェブに漏洩した。
ニューヨーク州のSawyer Savings Bankとワイオミング州のHilltop Bankは第3四半期にいずれも第三者ソフトウェアサプライヤーの潜在的な問題によりサービスを中断した。しかし日韓、米州、南アジアの銀行の中核口座はいずれも損害を受けておらず、フランスのFortuneoだけが法定通貨とオンチェーン資産を貫く実質的な資金の奪取を受けた。
フランスの司法・金融監督当局は、Fortuneoが幹部権限の偽造を狙った標的型詐欺に遭ったかどうかの調査に乗り出しており、オンチェーン監視チームはイーサリアム残高を保有する複数の未知の資金洗浄ルートノードに対して24時間体制でアドレスのマーキングを進めている。
