Erste Details zu dem Vorfall machte am Montag der pseudonyme US-amerikanische Blockchain-Ermittler ZachXBT öffentlich, der später Arkéa als mutmaßliches Opfer nannte und erklärte, der Angriff habe sich über mehrere Tage erstreckt. Seine Schätzung von über 133 Millionen Dollar stützt er auf Abhebungen von Konten bei Kryptobörsen sowie auf Transaktionen, die der Geldwäsche dienen sollten.

In ihrer Stellungnahme am Mittwochabend wollte die Bank die genannte Schadenssumme nicht bestätigen, erklärte aber, sie könne „die Größenordnung bestätigen". Weiter hieß es: „Sobald der Angriff erkannt wurde, wurden im Rahmen der bestehenden Krisenverfahren die erforderlichen Maßnahmen ergriffen. Der Vorfall ist nun unter Kontrolle."

Darstellungen französischer Medien, wonach sich die Angreifer über die Online-Banking-Tochter Fortuneo Zugang verschafft und von dort die ersten Überweisungen veranlasst hätten, wies Arkéa zurück. Die Täter seien vielmehr „über die Plattform eines unserer Dienstleister" gegangen, um direkten Zugriff auf die Bankengruppe selbst zu erlangen. Die Bank bezeichnete den Angriff als ausgeklügelt und ausdrücklich nicht als Folge menschlichen Versagens, ohne weitere Einzelheiten zu nennen.

„Die Angreifer nutzten das eigene Konto von Crédit Mutuel Arkéa, um Transaktionen an andere Bankinstitute auszuführen, was es ihnen anschließend möglicherweise erlaubte, dieses Geld über spezialisierte Plattformen in Kryptowährung umzuwandeln", heißt es in der Mitteilung.

Ein Teil der umgewandelten Vermögenswerte sei inzwischen eingefroren worden; an der Rückholung des übrigen Betrags werde gearbeitet. Der endgültige Verlust stehe noch nicht fest, die Summe sei aber „absolut nicht geeignet", die Solvenz oder die finanzielle Lage des Instituts zu gefährden. Laut dem jüngsten Geschäftsbericht liegt die Bilanzsumme von Arkéa bei über 237 Milliarden Pfund.

„Unsere Sicherheitssysteme haben es ermöglicht, die verdächtigen Aktivitäten sehr schnell zu erkennen und die notwendigen Maßnahmen zu ergreifen, um den Angriff einzudämmen", erklärte die Bank. Ihre Teams arbeiteten zudem „mit den zuständigen Justiz- und Polizeibehörden zusammen, um den Ursprung des Angriffs und die Vorgehensweise genau zu bestimmen".