Die französische Bank Crédit Mutuel Arkéa bestätigte am Mittwoch, dass ein Cyberangriff Hackern die Ausführung betrügerischer Überweisungen vom eigenen Konto der Bank ermöglicht hatte – ein Diebstahl, den der On-Chain-Ermittler ZachXBT auf mehr als 133 Millionen Dollar schätzt, eine Zahl, die die Bank nicht bestätigt hat.

Der Bretagne-basierte Kreditgeber erklärte in einer Erklärung, der Vorfall sei unter Kontrolle, der Betrieb laufe wieder an und Kundengelder seien nicht betroffen. Vorsorglich wurden einige Transaktionen ausgesetzt.

"Dieser Vorfall hatte keine Auswirkungen auf die (Kunden-)Vermögenswerte und hat lediglich die Ausführung bestimmter Überweisungen verzögert", erklärte die Bank auf ihrer Website, in einer von Reuters veröffentlichten Übersetzung.

In einer nachfolgenden Frage-und-Antwort-Notiz teilte Crédit Mutuel Arkéa mit, die Angreifer seien über die Plattform eines Dienstleisters vorgegangen und hätten direkt Zugriff auf die Bank erlangt. Sie nutzten das eigene Konto der Bank, um Transaktionen an andere Banken zu senden, was ihnen anschließend möglicherweise ermöglichte, das Geld über spezialisierte Plattformen in Kryptowährungen umzuwandeln, so die Bank.

Laut der Bank wurden keine Kundenkonten ihrer Föderationen oder Tochtergesellschaften genutzt. Sie wies zudem Berichte französischer Medien zurück, die Angreifer seien über Fortuneo, ihre Online-Banking-Sparte, eingedrungen, und bezeichnete den Vorfall als "einen von außen ausgeführten hochentwickelten Angriff" und nicht als Folge menschlichen Versagens.

Die Höhe des Schadens

Die Bank hat keine endgültige Zahl genannt. Auf die Frage, ob 118 Millionen Euro, umgerechnet 133 Millionen Dollar, gestohlen worden seien, erklärte sie, sie bestätige die Zahl nicht und könne lediglich "die Größenordnung validieren".

Ein Teil der betroffenen Mittel sei eingefroren, und weitere Schritte zur Wiedererlangung des Restes seien im Gange, so die Bank. Die betroffenen Beträge seien "absolut nicht" groß genug, um ihre finanzielle Gesundheit oder Stabilität zu gefährden.

AFP berichtete, die Bank beziffere den Angriff in einer vorläufigen Schätzung auf etwa 100 Millionen Euro. Am Mittwoch erklärte die Bank zuvor laut Reuters, ihre Verluste lägen unter 133 Millionen Dollar. "Es ist noch zu früh, eine endgültige Zahl zu nennen", teilte ein Sprecher der Nachrichtenagentur mit.

Was ZachXBT berichtete

ZachXBT wies erstmals am Montag auf den Vorfall hin, ohne das Opfer zu benennen. Auf seinem Telegram-Kanal schrieb er, eine EU-Entität habe am 1. November voraussichtlich mehr als 106 Millionen Dollar über mehrere Konten bei zentralisierten Börsen verloren, wobei die Mittel als USDC und USDT abgehoben wurden. Die Mittel seien anschließend in Ether getauscht und über mehrere Blockchains bewegt worden, so ZachXBT.

In einem Update erklärte er, er habe weitere 27 Millionen Dollar oder mehr an Börsenabhebungen entdeckt, womit die Gesamtsumme auf mehr als 133 Millionen Dollar steige. Ein späterer Beitrag nannte Crédit Mutuel Arkéa als mutmaßliches Opfer. Er schrieb, der Angriff habe sich "über mehrere Tage erstreckt", und er vermute, dass die gestohlene Summe noch größer ist, sobald Over-the-Counter-Aktivitäten berücksichtigt werden.

Die Bank hat weder seine Zahl noch seinen Zeitablauf bestätigt. Sie hat auch nicht gesagt, wann der Angriff begann, wer dahintersteckt oder ob Daten abgeflossen sind. Crédit Mutuel Arkéa arbeitet mit Justiz- und Polizeibehörden zusammen, um den Ursprung des Angriffs und dessen Ausführung zu klären, und teilte mit, ihre Aufsichtsbehörden sofort nach Erkennung des Angriffs informiert zu haben. Die Bank warnte Kunden zudem, dass es nach dem Vorfall zu Phishing-Versuchen kommen könne.

Hintergrund zur Bank

Crédit Mutuel Arkéa, zu dem die Crédit-Mutuel-Föderationen der Bretagne und des Südwestens gehören, ist Teil der größeren Crédit-Mutuel-Gruppe. Die Bank hat 5,8 Millionen Kunden und Vermögenswerte von 211,5 Milliarden Euro, etwa 238 Milliarden Dollar, wie Reuters berichtete. Im ersten Halbjahr des Jahres wies sie einen Nettogewinn von 230 Millionen Euro aus, wie AFP berichtete.

Der Angriff ereignete sich weniger als eine Woche nach dem Rekord-$6,34-Milliarden-Hack auf Binance, den Blockchain-Analysefirmen mit Nordkorea in Verbindung bringen. ZachXBT erklärte in seinem ersten Beitrag, er sei sehr sicher, dass dieser Vorfall nicht das Werk der nordkoreanischen Lazarus Group war. Separat stellte Brasiliens Mercado Bitcoin nach einem Sicherheitsvorfall in dieser Woche Einzahlungen und Abhebungen ein.

Wie viel Geld die Bank zurückholen kann und wie hoch der endgültige Schaden ausfallen wird, bleibt offen.

Dieser Artikel erschien zuerst auf Bitcoin Magazine und wurde von Micah Zimmerman verfasst.