Bank Prancis Dibobol Lewat Jalur Kripto, ZachXBT Lacak Kerugian Lebih dari $133 Juta

Sebuah bank besar di Prancis mengakui menjadi korban serangan siber yang memungkinkan transfer penipuan, setelah investigator on-chain ZachXBT menuding kerugian yang terkait dengan insiden itu sudah melampaui 133 juta dolar AS. Banknya tidak mengonfirmasi angka itu. Justru di celah antara pengakuan bank dan angka investigator inilah cerita ini penting dibaca dengan hati-hati.

Bank yang dimaksud adalah Crédit Mutuel Arkéa, grup perbankan koperasi yang berbasis di Brittany, Prancis. Menurut laporan CoinDesk, bank tersebut mengonfirmasi serangan itu pada Rabu, 4 November 2026, dan menyebut insiden sudah terkendali. Bank juga menegaskan tidak ada dampak finansial bagi nasabahnya. Namun bank tidak mengungkap jumlah yang dicuri, dan tidak memastikan apakah dana itu awalnya disimpan dalam mata uang tradisional atau kripto.

Kronologi: dari penarikan mencurigakan sampai bank buka suara

Urutan waktunya relatif jelas, dan penting untuk tidak mencampuradukkan tanggal penarikan dengan tanggal pengumuman:

ZachXBT juga memperingatkan bahwa total kerugian bisa lebih besar lagi bila aktivitas over-the-counter (OTC) ikut dihitung. Peringatan itu masuk akal sebagai hipotesis, tapi sampai artikel ini ditulis, bagian OTC tersebut belum punya angka yang bisa diverifikasi secara independen.

Aliran dana yang dilacak Bitquery

Bagian yang paling bisa diverifikasi dari kasus ini bukan nama korbannya, melainkan jejak on-chain-nya. Bitquery melacak penarikan USDC dari tiga bursa besar, lalu menemukan sekitar 63 juta dolar AS dalam stablecoin diubah menjadi Ether (ETH) dalam waktu sekitar empat jam. Laporan lain menyebut sekitar 62,98 juta dolar AS diubah menjadi 27.553 ETH lewat UniswapX.

Pola ini familiar bagi pembaca yang mengikuti jejak dompet peretas Drift Protocol ke Tornado Cash: dana dipindah dari aset yang bisa dibekukan penerbitnya (stablecoin) ke ETH, yang tidak bisa dibekukan oleh satu penerbit terpusat. Bedanya, dalam kasus Arkéa, dana itu disebut berasal dari akun bursa, bukan dari kontrak protokol DeFi yang dieksploitasi.

Crypto.com mengonfirmasi sudah memblokir dana yang terkait dengan insiden ini dan menegaskan dana nasabahnya tetap aman. Kraken dan Crypto.com juga disebut sudah membatasi akun yang terkait. Yang belum terjawab sampai sekarang adalah bagaimana pelaku bisa mengakses akun-akun bursa tersebut. Tidak ada bukti yang dipublikasikan bahwa sistem Kraken, Crypto.com, atau OKX sendiri yang dibobol.

Apa yang diakui bank, dan apa yang tidak

Ini bagian yang paling sering disederhanakan secara keliru di media sosial, jadi mari dipisahkan dengan tegas:

ZachXBT juga menyatakan keyakinan tinggi bahwa pelaku bukan kelompok Lazarus dari Korea Utara, dengan alasan cara dana dipindahkan berbeda dari pola kelompok tersebut. Itu adalah penilaian investigator, bukan kesimpulan aparat penegak hukum, dan layak dicatat sebagai penilaian, bukan fakta final.

Kenapa kasus ini relevan buat pembaca memecoin.id

Pertama, kasus ini menunjukkan bahwa titik lemah terbesar tidak selalu ada di smart contract. Di sini, yang dieksploitasi diduga adalah akses ke akun bursa terpusat milik sebuah institusi, lalu dana dicuci lewat jalur kripto yang cepat dan sulit dibekukan. Pelajaran yang sama muncul di kasus CoinDCX yang dituduh kena hack lagi, di mana perdebatan soal angka dan narasi resmi juga berjalan beriringan dengan pelacakan on-chain.

Kedua, bank ini bukan pemain kripto pinggiran. CoinDesk mencatat Arkéa sedang bersiap masuk ke bisnis kripto, dan pada Mei 2026 media Prancis L’Agefi melaporkan bank itu mengajukan lisensi di bawah aturan MiCA Uni Eropa untuk menawarkan layanan kripto. Ironi itu penting: institusi yang sedang bersiap melayani nasabah kripto justru menjadi contoh betapa rapuhnya pengamanan akun institusional bila aksesnya jatuh ke tangan yang salah.

Ketiga, bank memperingatkan kemungkinan upaya phishing setelah insiden ini. Itu peringatan yang layak dipegang semua pembaca: setelah sebuah insiden besar, penipu biasanya memanfaatkan kebingungan korban dan publik dengan pesan palsu yang mengatasnamakan bank atau bursa. Jangan pernah memasukkan seed phrase atau kredensial lewat tautan yang dikirim mendadak, apapun alasannya.

Untuk sekarang, status kasus ini adalah: serangan diakui, angka final belum ada, sebagian dana disebut sudah dibekukan, dan penyelidikan masih berjalan bersama otoritas kehakiman dan kepolisian. Kalau ada angka final resmi dari bank atau aparat, artikel ini layak diperbarui, bukan diasumsikan.