Die französische Bankengruppe Crédit Mutuel Arkéa hat bestätigt, dass sie Ziel eines Cyberangriffs wurde, der betrügerische Transaktionen ermöglichte – einen Tag, nachdem ZachXBT, ein pseudonymer On-Chain-Ermittler, der für die Rückverfolgung gestohlener Krypto-Mittel bekannt ist, die Bank als mutmaßliches Opfer eines Krypto-Diebstahls von mehr als 133 Mio. USD identifiziert hatte.

In einer gegenüber Decrypt am Mittwoch geteilten Erklärung sagte Crédit Mutuel Arkéa, der Vorfall sei „abgeschlossen und nun unter Kontrolle“. Die Bank teilte mit, der Betrieb laufe nach der Umsetzung verstärkter Sicherheitsmaßnahmen schrittweise wieder an, und Kundengelder seien nicht betroffen. Der Angriff habe die Ausführung einiger Überweisungen verzögert.

Die Bank erwähnte Kryptowährungen nicht und gab keinen Betrag an. Die betroffenen Summen würden noch bewertet, seien jedoch „in keinem Fall geeignet, die Solidität und finanzielle Gesundheit der Gruppe in Frage zu stellen“, so die Bank laut Übersetzung von Decrypt.

Crédit Mutuel Arkéa teilte mit, dass die zuständigen Aufsichtsbehörden sofort nach der Erkennung des Angriffs informiert wurden. Zudem wurden einige Transaktionen vorsorglich vorübergehend ausgesetzt, um weitere betrügerische Bewegungen zu verhindern, und Kunden wurden gewarnt, nach dem Vorfall auf Phishing-Versuche zu achten – ein häufiges Folgerisiko nach öffentlich bekannten Angriffen, wenn Betrüger sich als die betroffene Institution ausgeben. Decrypt teilte mit, die Bank für eine Stellungnahme kontaktiert zu haben, darunter zur Frage, ob die Verluste Krypto-Assets umfassten.

ZachXBTs Vorwürfe

„Der kompromittierte EU-Finanzinstitut mit Verlusten von über 133 Mio. USD ist angeblich Credit Mutuel Arkea, eine französische Bank mit 235 Mrd. USD an Vermögenswerten“, schrieb ZachXBT am Dienstag auf seinem Telegram-Kanal: https://t.me/investigations/375

„Der Angriff auf die Bank erstreckte sich über mehrere Tage. Ich vermute, die gestohlene Summe ist höher, wenn man OTC-Aktivitäten einbezieht“, fügte er hinzu.

ZachXBT meldete den mutmaßlichen Diebstahl erstmals am Montag und sagte, eine namentlich nicht genannte Entität in der Europäischen Union habe am 1. November möglicherweise mehr als 106 Mio. USD von Konten bei mehreren Krypto-Börsen verloren. Laut seinem ursprünglichen Beitrag wurden die Mittel als USDC und USDT abgehoben. Der Angreifer tauschte anschließend USDC gegen ETH, bewegte die Mittel über Instant Exchanges, wandelte einen Teil der Assets in die Privacy-Coin Monero um – deutlich schwerer nachzuverfolgen als transparente Blockchains wie Ethereum, da ihr Ledger Sender, Empfänger und Beträge verbirgt – und brachte die Mittel über mehrere Blockchain-Netzwerke hinweg, ein Waschungsmuster, das bei großen Krypto-Diebstählen häufig verwendet wird, um Transaktionen zu fragmentieren und die Herkunft gestohlener Mittel zu verschleiern.

In einem Update am Dienstag sagte ZachXBT, er habe weitere 27 Mio. USD an Börsenabhebungen durch den Angreifer identifiziert, womit sich die Gesamtsumme auf mehr als 133 Mio. USD belaufe. Einige dieser Abhebungen seien nach seiner ersten Veröffentlichung erfolgt, und er veröffentlichte vier Ethereum-Adressen, die nach seiner Angabe mit dem Diebstahl in Verbindung stehen: https://t.me/investigations/374

„Meine Arbeitsthese ist, dass ein großes Finanzinstitut in Westeuropa kompromittiert wurde und dies derzeit vertuscht wird“, schrieb ZachXBT in seinem ursprünglichen Bericht. Er warf der Institution vor, keine „ordnungsgemäße Offenlegung des Vorfalls“ durchgeführt zu haben, wodurch die Strafverfolgungsbehörden daran gehindert worden seien, rund 30 Mio. USD der gestohlenen Mittel einzufrieren.

ZachXBT erklärte nicht, wie er die Bank identifiziert hatte oder wie der Angreifer Zugriff auf ihre Börsenkonten erlangte. Er sagte auch, der mutmaßliche Angreifer sei weiterhin unbekannt. Allerdings schrieb er, er könne „mit hoher Sicherheit sagen, dass es NICHT die Lazarus Group ist“, die nordkoreanische Hackergruppe, „auf Grundlage mehrerer Waschungsindikatoren“.

Der Vorwurf folgt auf Berichte, wonach Crédit Mutuel Arkéa sich auf den Einstieg in den Krypto-Sektor vorbereitete. Im Mai berichtete die französische Finanzzeitung L’Agefi, die Gruppe habe eine Lizenz nach MiCA beantragt – dem Krypto-Regulierungsrahmen der Europäischen Union, der einen EU-weiten Lizenzierungsmechanismus für Krypto-Asset-Dienstleister schuf –, um Retail-Kunden Krypto-Dienstleistungen anzubieten und diese im White-Label-Verfahren über ihre Sparte Arkéa Banking Services bereitzustellen:

Der Vorwurf kommt zudem wenige Tage nach dem 6,3 Mrd. USD schweren Hack von Binance, der im Quellbericht als der größte Krypto-Diebstahl der Geschichte bezeichnet wird. Das FBI hat diesen Angriff nordkoreanischen Hackern zugeschrieben. ZachXBT sagte, der mutmaßliche EU-Diebstahl scheine auf Basis der von ihm geprüften Waschungsindikatoren nicht von der Lazarus Group ausgeführt worden zu sein.

Mehrere Fragen bleiben offen: Die Bewertung der betroffenen Summen durch die Bank läuft, sie hat nicht gesagt, ob Krypto-Assets zu den Verlusten gehörten, und ZachXBT hat erklärt, die Gesamtsumme könnte höher ausfallen, sobald OTC-Aktivitäten berücksichtigt werden.

Dieser Artikel wurde aktualisiert, um eine Stellungnahme von Crédit Mutuel Arkéa aufzunehmen.