Crédit Mutuel Arkéa hat bestätigt, dass ein Cyberangriff betrügerische Vorgänge bei der französischen Bankengruppe ermöglicht hatte – einen Tag, nachdem der On-Chain-Ermittler ZachXBT, ein pseudonym agierender Forscher, der für die öffentliche Dokumentation großer Kryptodiebstähle bekannt ist, das Institut als mutmaßliches Opfer eines Kryptodiebstahls von mehr als 133 Millionen Dollar identifiziert hatte. Die Bank erklärte, der Vorfall sei unter Kontrolle und Kundengelder seien nicht betroffen; sie nannte jedoch weder die entwendete Summe noch bestätigte sie Verluste bei Kryptowährungen.

Nach Angaben der Gruppe laufen die Betriebstätigkeiten nach der Einführung verschärfter Sicherheitsmaßnahmen schrittweise wieder an. Einige Überweisungen hatten sich verzögert, und die Bank setzte bestimmte Transaktionen vorübergehend aus, um weitere betrügerische Bewegungen zu verhindern.

„Abgeschlossen und nun unter Kontrolle“

In einer Erklärung gegenüber Decrypt am Mittwoch bezeichnete Crédit Mutuel Arkéa den Vorfall als „abgeschlossen und nun unter Kontrolle“. Die Bank teilte mit, sie habe die zuständigen Aufsichtsbehörden informiert, sobald sie den Angriff entdeckt hatte, und warnte ihre Kunden, nach dem Vorfall wachsam gegenüber Phishing-Versuchen zu sein, bei denen Angreifer vertrauenswürdige Institutionen imitieren, um Menschen zur Herausgabe von Zugangsdaten oder Geldmitteln zu verleiten.

Die betroffenen Beträge seien „in keinem Fall geeignet, die Solidität und finanzielle Gesundheit der Gruppe in Frage zu stellen“, fügte die Bank laut Übersetzung von Decrypt hinzu. In der Erklärung wurde Kryptowährung nicht erwähnt, und es wurde keine Summe für die entnommenen Beträge genannt. Decrypt teilte mit, man habe die Gruppe gefragt, ob die Verluste Kryptowährungen beträfen.

Die Bestätigung folgte auf ZachXBTs öffentliche Identifizierung von Crédit Mutuel Arkéa als das Institut, das seiner Ansicht nach ins Visier genommen worden war. In einem Telegram-Beitrag am Dienstag benannte er die Gruppe und behauptete einen Diebstahl von mehr als 133 Millionen Dollar, wobei er angab, der Angriff habe sich über mehrere Tage erstreckt, und die Summe könne höher ausfallen, wenn Over-the-Counter-Aktivitäten eingerechnet würden.

ZachXBTs Darstellung der Abhebungen

ZachXBT hatte den Verdacht eines Diebstahls erstmals am Montag geäußert. Er sagte, eine namentlich nicht genannte Entität in der Europäischen Union könne am 1. November mehr als 106 Millionen Dollar von Konten bei mehreren Kryptobörsen verloren haben; die Mittel seien in USDC und USDT abgehoben worden, zwei an den Dollar gekoppelte Stablecoins.

Nach Angaben des Ermittlers tauschte der Angreifer anschließend USDC in ETH um, bewegte die Mittel über Instant-Exchanges, wandelte einen Teil in Monero um, eine auf Privatsphäre ausgerichtete Kryptowährung, die Transaktionsdetails verschleiert, und überbrückte Vermögenswerte über mehrere Blockchains. Später erklärte er, er habe weitere 27 Millionen Dollar an Börsenabhebungen identifiziert, wodurch sich die gemeldete Gesamtsumme auf mehr als 133 Millionen Dollar belaufe; einige Abhebungen seien nach seiner ersten Offenlegung erfolgt.

ZachXBT veröffentlichte zudem vier Ethereum-Adressen, die nach seiner Aussage mit dem Diebstahl in Verbindung stehen. Er erklärte nicht, wie er die Bank identifiziert hatte oder wie der Angreifer Zugriff auf die Börsenkonten erlangt hatte, und die Erklärung der Bank bestätigte diese Details weder noch brachte sie die betrügerischen Vorgänge mit den behaupteten Kryptobewegungen in Verbindung.

Der Ermittler warf dem Institut ferner vor, keine „ordnungsgemäße Offenlegung von Vorfällen“ betrieben zu haben; dieses Versäumnis habe verhindert, dass Strafverfolgungsbehörden rund 30 Millionen Dollar der gestohlenen Mittel einfrieren konnten. Diese Aussagen bleiben ZachXBTs Behauptungen, und der Quellenbericht enthielt keine Reaktion der Bank auf den Vorwurf.

Berichtete MiCA-Lizenzpläne

Der Vorwurf wurde erhoben, während sich die Bankengruppe auf die Erweiterung um Kryptodienste vorbereitet. Die französische Finanzzeitung L’Agefi berichtete im Mai, Crédit Mutuel Arkéa habe eine Lizenz nach dem MiCA-Regelwerk der EU (Markets in Crypto-Assets), dem Lizenzierungsregime des Blocs für Anbieter von Krypto-Dienstleistungen, beantragt. Dem Bericht zufolge war geplant, Privatkunden Dienstleistungen auf White-Label-Basis über Arkéa Banking Services anzubieten. Die Bank hat den Vorfall nicht mit ihren berichteten Kryptoplänen in Verbindung gebracht.

Decrypt berichtete über den Vorwurf wenige Tage nach dem Binance-Hack von 6,3 Milliarden Dollar, den das FBI nordkoreanischen Hackern zuschrieb. ZachXBT sagte, der mutmaßliche Angreifer im EU-Fall sei weiterhin nicht identifiziert, und er könne die Lazarus Group, das mit Nordkorea verbundene Hacker-Kollektiv, mit „hohem Maß an Sicherheit“ ausschließen, unter Verweis auf mehrere Indikatoren zur Geldwäsche.

Die Bank teilte mit, einige Betriebstätigkeiten würden nach verschärften Sicherheitsmaßnahmen schrittweise wieder aufgenommen. Die betroffene Summe wird noch bewertet, und die Gruppe hat nicht bestätigt, ob Kryptowährungen betroffen waren. ZachXBTs Darstellung der Börsenabhebungen bleibt im Bericht eine Behauptung, und die Methode, mit der der Angreifer auf die Börsenkonten zugriff, wurde nicht erläutert. Die offenen Punkte, die zu beobachten sind, sind die abschließende Verlustbewertung der Gruppe, ihre Antwort zur Frage, ob Kryptowährungen betroffen waren, und ob es den Strafverfolgungsbehörden gelingt, Mittel einzufrieren oder wiederzubeschaffen.