Der Blockchain-Ermittler ZachXBT hat die französische Bankengruppe Crédit Mutuel Arkéa als mutmaßliches Opfer eines Krypto-Diebstahls von über 133 Millionen Dollar identifiziert und damit seine Untersuchung verdächtiger Abhebungen von mehreren Konten zentralisierter Börsen ausgeweitet.

Die Offenlegung vom 4. November benannte die Institution, nachdem frühere Warnungen sich nur auf eine ungenannte europäische Einrichtung bezogen hatten. ZachXBT beschrieb Crédit Mutuel Arkéa, eine der größten Genossenschaftsbankengruppen Frankreichs, als Inhaber von rund 235 Milliarden Dollar an Vermögenswerten und erklärte, der mutmaßliche Angriff habe sich über mehrere Tage erstreckt, mit potenziellen weiteren Verlusten durch Over-the-Counter-Transaktionen — privat ausgehandelte Geschäfte außerhalb öffentlicher Börsen.

Eine Beteiligung der Bank wurde bislang nicht unabhängig bestätigt. Zum Zeitpunkt der Veröffentlichung lag keine öffentliche Stellungnahme zu dem Vorwurf vor, und die Offenlegungen lassen nicht erkennen, ob die betroffenen Vermögenswerte der Institution, ihren Kunden oder einer anderen Partei gehörten.

Weitere Abhebungen treiben geschätzte Verluste über 133 Millionen Dollar

ZachXBTs erste Warnung vom 2. November bezifferte die mutmaßlichen Verluste von am Vortag getroffenen Börsenkonten auf mehr als 106 Millionen Dollar. Die Gelder wurden als USDC und USDT abgehoben — die beiden größten an den Dollar gebundenen Stablecoins —, bevor sie über mehrere Dienste und Blockchains bewegt wurden.

Anschließend identifizierte er weitere Börsenabhebungen von über 27 Millionen Dollar, womit sich seine Schätzung auf mehr als 133 Millionen Dollar erhöhte. Einige Abhebungen erfolgten nach seiner ersten öffentlichen Warnung, was darauf hindeutet, dass die mutmaßlichen Abflüsse fortgesetzt wurden, nachdem der Vorfall bereits Aufmerksamkeit erregt hatte.

Der Ermittler veröffentlichte in der ursprünglichen Warnung 11 mutmaßliche Diebesadressen und in der Nachbereitung vier weitere Adressen. Er nannte weder die Börsen, auf denen die betroffenen Konten geführt wurden, noch erklärte er, wie der Angreifer Zugang zu diesen erlangte.

Die mutmaßliche Geldwäsche umfasste den Umtausch von USDC in Ether, die Übermittlung von Geldern über Instant-Exchanges und die Umwandlung der Vermögenswerte in Monero (XMR), eine datenschutzorientierte Kryptowährung, deren Protokoll Transaktionsdetails verschleiert. ZachXBT benannte WellWallet und Kyrrex als Empfänger von Überweisungen und identifizierte Wagyu als Weg für Umrechnungen in XMR. Diese Beobachtungen beschreiben die Bewegung der Gelder; sie belegen nicht, dass die Dienste wissentlich an dem Diebstahl beteiligt waren.

„Ich vermute, dass die gestohlene Summe höher ist, wenn man die OTC-Aktivitäten einbezieht“, schrieb ZachXBT in dem Update, das Arkéa benannte. Für diese Transaktionen legte er keine separate Schätzung vor.

ZachXBT kritisiert Offenlegung, während Angreifer unbekannt bleibt

ZachXBT warf zudem vor, dass eine unzureichende Offenlegung die Wäsche von mehr als 30 Millionen Dollar ermöglichte, die europäische Strafverfolgungsbehörden andernfalls hätten einfrieren können. Er bezeichnete eine mögliche Vertuschung als seine Arbeitsthese, nicht als belegten Befund. Weder eine bewusste Verschleierung noch der Betrag, den die Behörden hätten abfangen können, wurde unabhängig überprüft. Die Zahl von 30 Millionen Dollar bezieht sich auf Gelder, die während des Vorfalls laut Angabe bewegt wurden, und stellt keinen zusätzlichen Verlust neben der Schätzung von 133 Millionen Dollar dar. Das Einfrieren gestohlener Kryptowährungen setzt in der Regel voraus, dass Börsen, Stablecoin-Herausgeber oder Dienste, die die Vermögenswerte halten, handeln, bevor die Gelder ihren Einflussbereich verlassen.

Der Angreifer bleibt unbekannt. ZachXBT erklärte, er sei hochgradig sicher, dass die Lazarus Group — eine Nordkorea zugerechnete Hackergruppe, die US-Behörden für einige der größten Krypto-Diebstähle der Branche verantwortlich machen — nicht verantwortlich sei, und verwies dabei auf mehrere Indikatoren der Geldwäsche. Diese Indikatoren veröffentlichte er nicht im Detail, und seine Einschätzung ist keine formale Zuordnung durch Strafverfolgungsbehörden.

Die Offenlegungen folgen auf die Aussetzung der Dienste durch Mercado Bitcoin nach einem Sicherheitsvorfall und die Zuordnung des Binance-Diebstahls durch das FBI zu der nordkoreanischen Operation TraderTraitor, wodurch der mutmaßliche Diebstahl bei Arkéa in eine Reihe aktueller Sicherheitsvorfälle im Digital-Asset-Sektor einreiht wird. ZachXBTs Beiträge liefern keine Belege für eine Verbindung des mutmaßlichen Arkéa-Vorfalls zu einem der beiden Fälle.

Das neueste Update lässt offen, wie die Börsenkonten kompromittiert wurden, ob der unbefugte Zugriff eingedämmt wurde und wie viel Kryptowährung eingefroren oder wiederhergestellt werden konnte. Ob Crédit Mutuel Arkéa öffentlich auf den Vorwurf reagiert, ob weitere Abhebungen oder Adressen offengelegt werden und ob europäische Behörden oder die genannten Dienste Schritte zur Einfrierung von Geldern einleiten, sind die entscheidenden Entwicklungen, die zu beobachten sind.