要点

• 黑客在未入侵客户账户的情况下动用了银行资金
• 一家受信任的服务提供商成为攻击入口
• 加密货币交易所帮助发现了可疑转账和被盗资金

一家法国银行在一次复杂的网络攻击中损失了约1亿欧元，但其客户据称并未遭受损失。这个解释揭示了一个令人意外的区别：从银行窃走资金，与从把积蓄存放在银行的人那里窃走资金，并不是一回事。

Crédit Mutuel Arkéa于11月4日证实，攻击者通过一家外部服务提供商进入其系统，并使用银行自己的账户发起未经授权的转账。该机构在官方声明中强调，攻击者并未访问其子公司或地区网络下客户的账户。

到11月5日，约1亿欧元仍下落不明，路透社报道称。不过，银行表示，事件已得到控制，不会威胁其财务稳定性。

黑客如何在不接触存款的情况下盗走银行资金

这次攻击始于银行直接基础设施之外。

据 Crédit Mutuel Arkéa 介绍，黑客攻破了一家可接入其金融系统的外部服务提供商平台，随后使用银行自己的账户将资金转移至其他金融机构。

关键在于，攻击者并不是通过 Arkéa 的在线银行子公司 Fortuneo 进入系统，尽管早前报道曾暗示情况可能如此。

这一区别很重要，因为客户存款和银行自身的金融资源并不能互换。

银行将客户存款记为负债，代表其欠储户的钱；同时，银行还持有资产、资本和运营资金，用于开展业务。

在这起案件中，欺诈性转账来自 Arkéa 自己名下的账户，而不是单个客户账户。

这并不意味着盗窃无害。即便储户余额未受影响，损失1亿欧元也会削弱银行的金融资源。

为何 Kraken 发现了银行一时无法阻止的盗窃

被盗资金据称先通过传统银行渠道流转，随后被转换为加密货币。

根据《世界报》的调查，Kraken 发现了涉及一家欧洲银行机构的大额异常交易，并阻止了正在进行中的转账。

区块链调查者 ZachXBT 也曾在 Arkéa 公开确认事件之前，独立识别出可疑的加密货币流动。

这一案例表明，即便最初的盗窃发生在传统银行系统中，加密货币交易所有时也能帮助调查金融犯罪。

与近期 Binance 基础设施遭攻击不同，Arkéa 的漏洞据称始于第三方银行服务，而不是加密货币交易签名基础设施。

尽管如此，这两起事件都说明，受信任的授权系统也可能成为安全弱点。

此前第三方漏洞也曾在去中心化金融领域暴露出类似问题：受损的服务提供商可能在不攻破主平台的情况下造成损失。

当银行自己的钱被盗时，谁来承担损失？

对客户而言，直接结果是业务中断，而不是余额减少。

Arkéa 暂时暂停了部分交易，并加强安全控制，导致一些付款延迟。随后，该行恢复了几乎所有业务，并表示客户资产未受影响。

最初的财务负担将落在机构本身，尽管最终损失取决于调查人员能够追回多少资金。

这一事件提出了与人工智能银行代理相关的类似问题：软件或服务提供商拥有发起金融交易的权限，可能带来怎样的风险。

此前另一场银行安全争议也表明，机构资金遭受损失，与客户资产遭受损失，二者的后果并不相同。