Der On-Chain-Researcher ZachXBT, der bekannt dafür ist, Hacks und gestohlene Gelder über Blockchains hinweg zu verfolgen, hat die französische Bankengruppe Crédit Mutuel Arkéa als die europäische Einrichtung hinter rund 133 Millionen Dollar an verdächtigen Krypto-Abflüssen identifiziert, die er in den vergangenen Tagen verfolgt hat. Die Erkenntnisse deuten darauf hin, dass eine große europäische Institution kompromittiert wurde; die französische Bank hat sich bislang nicht umgehend geäußert.

Die Verluste stammen Berichten zufolge aus den Krypto-Wallets von Crédit Mutuel Arkéa, einer Regionalmarke der größeren Crédit Mutuel Group. Das Bankinstitut verfügt über insgesamt mehr als 235 Milliarden Dollar an Vermögenswerten, wobei Kryptowährungen nur einen kleinen Teil des Portfolios ausmachen. Der Angriff auf die Wallets erstreckte sich über mehrere Tage und umfasste On-Chain-Swaps und andere Operationen; ZachXBT sucht weiterhin nach weiteren Verlusten und Versuchen, die Gelder zu waschen.

Das Wirkungsfeld von Crédit Mutuel Arkéa geht über Banking und Versicherungen hinaus. Die Gruppe bietet Bankdienstleistungen und White-Label-Zahlungsabwicklung für Fintechs und Neobanken an, von denen einige Kryptowährungen halten – darunter Stripe. Ihre Tochtergesellschaft Arkéa Banking Services (ABS) bietet SEPA-Überweisungen, Fiat-On-Ramps und Konten für MiCAR-konforme Fintechs an – also Unternehmen, die nach dem EU-Rahmenwerk für Kryptomärkte (Markets in Crypto-Assets) tätig sind. Die Bank und ihre Tochtergesellschaften haben ihre Krypto-Bestände oder öffentlich zugänglichen Wallets nicht offengelegt, weshalb die verdächtigen Transaktionen nur durch die Beobachtung einiger der am häufigsten genutzten zentralisierten Börsen entdeckt wurden.

Gelder flossen über zentralisierte Börsen

Der Angriff entleerte eine Reihe von Konten bei zentralisierten Börsen. Am 2. November identifizierte ZachXBT Verluste von 106 Millionen Dollar über mehrere Konten zentralisierter Börsen; die Gelder wurden in USDC und USDT abgehoben, den Stablecoins von Circle bzw. Tether.

Der Angreifer tauschte anschließend USDC über Instant-Börsen wie WellWallet und Kyrrex sowie weitere in ETH um. Ein Teil der Gelder wurde über Wagyu Wallet in Monero (XMR) umgewandelt, ein auf Privatsphäre ausgerichtetes Asset, das Transaktionsdetails konstruktionsbedingt verschleiert, und auf andere Chains überbrückt.

ZachXBT stellte fest, dass dieses Waschmodell nicht zu den üblichen Vorgehensweisen der Lazarus Group passt, der Nordkorea zugeschriebenen Hackergruppe. Nordkoreanische Hacker bewegen gestohlene Gelder typischerweise schnell über On-Chain-Operationen, meist mit Ethereum und dessen Mixern, weshalb Swaps über zentralisierte Börsen ein ungewöhnliches Waschmuster darstellen.

Abhebungen konzentrierten sich auf Kraken-Konten

Basierend auf den von ZachXBT zusammengetragenen Wallets des Angreifers wurde ein Teil der Gelder aus einer Kraken Hot Wallet abgehoben und später in kleinere Posten aufgeteilt und an neue Adressen verschoben. Nach einem Tag Angriffe sperrte Kraken die mit dem Exploit verknüpften Wallets, wobei die Gelder nicht eingefroren wurden – eine Sperre, die Aktivitäten über die markierten Konten stoppt, die Token selbst jedoch unberührt lässt.

Die erste Angriffswelle nutzte 11 neue Wallets, die überwiegend Gelder aus Krakens Hot Wallet abhoben. Mehrere Transaktionen gingen zudem von Crypto.com- und OKX-Wallets aus, was auf mehrere kompromittierte Konten hindeutet. Eine zweite Abhebungswelle bewegte weitere 27 Millionen Dollar, erneut überwiegend über Kraken-Wallets.

Die Abhebungen von den Börsen setzten sich auch nach ZachXBTs erster Veröffentlichung fort, ohne dass die französische Bank umgehend Stellung nahm. „Meine Arbeitshypothese ist, dass ein großes Finanzinstitut in Westeuropa ausgenutzt wurde und dies derzeit vertuscht wird“, kommentierte ZachXBT über seinen Telegram-Kanal. Bislang, so merkte er an, wurden bereits über 30 Millionen Dollar gewaschen, ohne Anzeichen von Asset-Einfrierungen durch EU-Behörden.

Angreifer wurde zum ETH-Wal

Der unbekannte Angreifer zog in der vergangenen Woche auch die Aufmerksamkeit der On-Chain-Explorer auf sich, indem er als groß angelegter ETH-Käufer auftrat. Das erste Zeichen war eine unbekannte Wallet, die 27.553 ETH zu einem Durchschnittspreis von 2.286 Dollar pro ETH kaufte. Nach dem jüngsten Kursrücksetzer war es nicht ungewöhnlich, dass Wale in großem Umfang einstiegen, und erst später wurde die Wal-Adresse als mit dem laufenden Exploit verbunden identifiziert.

Statt die ETH als Reserve zu halten, begann die Wallet, die Gelder über mehrere Apps und Plattformen zu waschen.

Trotz der Abhebungen in USDC und USDT wurden die Stablecoins nicht eingefroren. Diese Entscheidung steht im Kontrast zur schnellen Reaktion auf den kürzlichen Binance-Hack, bei dem Circle und Tether die markierten Angreifer-Adressen sofort einfrorren. Ob einer der beiden Herausgeber die Adressen in diesem Fall ebenso behandelt und ob sich Crédit Mutuel Arkéa öffentlich zu dem Vorfall äußert, bleibt offen.