Der Blockchain-Ermittler ZachXBT hat die französische Bankengruppe Crédit Mutuel Arkéa als mutmaßliches Opfer eines Kryptodiebstahls im Wert von mehr als 133 Millionen Dollar benannt – im Anschluss an seine Untersuchung einer Reihe ungewöhnlicher Abhebungen von Centralized-Krypto-Börsen. Der Fall zeigt, wie On-Chain-Forensik potenzielle Vorfälle aufdecken kann, bevor eine betroffene Institution sie öffentlich eingeräumt hat.

Crédit Mutuel Arkéa hat keine Verbindung zu den Transaktionen öffentlich bestätigt und keine finanziellen Verluste eingeräumt. Dadurch bleiben der mutmaßliche Angriff, die betroffene Summe und die Verbindungen der Bank zu den Aktivitäten unbestätigt.

Chronologie der Untersuchung

Am 4. November identifizierte ZachXBT Berichten zufolge Crédit Mutuel Arkéa als die potenziell betroffene Institution. Die Bankengruppe verwaltet Vermögenswerte von rund 235 Milliarden Dollar, was den mutmaßlichen Diebstahl für den traditionellen Finanzsektor zu einem bemerkenswerten Ereignis machen würde.

Die Untersuchung begann am 2. November, als ZachXBT mehr als 106 Millionen Dollar an verdächtigen Krypto-Abhebungen meldete. Die Transaktionen stammten Berichten zufolge von Börsenkonten, die mit einer nicht identifizierten EU-Einheit in Verbindung stehen, wie CoinDesk berichtete. Abhebungen in diesem Ausmaß sind genau die Art von Aktivität, die On-Chain-Ermittler üblicherweise überwachen, da ungewöhnlich schnelle Bewegungen zwischen Börsenkonten auf unbefugten Zugriff oder kompromittierte Konten hindeuten können.

Einen Tag später, am 3. November, entdeckte der Ermittler weitere 27 Millionen Dollar an Abhebungen, die mit demselben mutmaßlichen Angreifer in Verbindung stehen, womit sich der geschätzte Wert des mutmaßlichen Diebstahls auf über 133 Millionen Dollar erhöhte.

ZachXBT deutete zudem an, dass ein großes westeuropäisches Finanzinstitut den Vorfall möglicherweise nicht offengelegt hat. Allerdings hat keine unabhängige Beleglage festgestellt, dass die Bank einen Sicherheitsvorfall absichtlich verschwiegen hat.

Gestohlene Mittel wurden über Ethereum und Monero bewegt

Die Analyse der Blockchain-Transaktionen zeigt, dass der mutmaßliche Angreifer zunächst Mittel in den Stablecoins USDC und USDT abhob – den beiden am weitesten verbreiteten an den Dollar gekoppelten Tokens, deren Bewegungen über öffentliche Blockchains Transaktion für Transaktion nachverfolgt werden können. Die Assets wurden anschließend über Ethereum, Instant-Krypto-Börsen und Cross-Chain-Bridges geleitet – eine Kombination von Routing-Schritten, die eine Prüfspur über mehrere Netzwerke und Dienste zerteilen kann.

Die Ermittler identifizierten außerdem Transaktionen mit Monero, einer datenschutzorientierten Kryptowährung, die Transaktionsdetails verschleiert. Solche Transfers können es den Behörden erheblich erschweren, Assets zurückzuverfolgen und gestohlene Mittel wiederzubeschaffen.

ZachXBT erklärte, die verzögerte Offenlegung habe es ermöglicht, dass mehr als 30 Millionen Dollar außerhalb potenzieller Wiederbeschaffungsmaßnahmen bewegt wurden, und vermutete, dass europäische Strafverfolgungsbehörden einige Assets hätten einfrieren können, wenn sie früher informiert worden wären. Er fügte hinzu, dass die Transaktionsmuster nicht zu denen passten, die üblicherweise mit Nordkoreas Lazarus Group in Verbindung gebracht werden – dem staatlich verbundenen Hackerkollektiv, dem US-amerikanische und alliierte Behörden einige der größten Kryptodiebstähle der Geschichte zuschreiben. Die Identität des mutmaßlichen Angreifers ist weiterhin unbekannt.

Die Bestätigung der Bank bleibt entscheidend

Die Vorwürfe werfen Fragen zur Krypto-Verwahrung, zu institutionellen Sicherheitspraktiken und zu Standards der Vorfallsmeldung in Europas Finanzbranche auf – ein Bereich, der für EU-Banken nun durch den Digital Operational Resilience Act geprägt wird, der seit Januar 2025 gilt und Finanzunternehmen verpflichtet, schwerwiegende ICT-bezogene Vorfälle an die Aufsichtsbehörden zu melden. Dennoch können verdächtige Blockchain-Transaktionen allein nicht belegen, dass eine bestimmte Bank einen bestätigten finanziellen Verlust erlitten hat.

Die Behörden haben den mutmaßlichen Diebstahl nicht öffentlich verifiziert oder geklärt, wie der mutmaßliche Angreifer Zugriff auf die Börsenkonten erlangte. Weitere Bestätigungen von Crédit Mutuel Arkéa, den beteiligten Krypto-Börsen oder den Aufsichtsbehörden sind erforderlich, um den tatsächlichen Umfang des Vorfalls zu bestimmen. Bis dahin sind die wichtigsten Signale jede öffentliche Reaktion der Bank, Offenlegungen der Börsen, deren Konten genutzt wurden, mögliche Maßnahmen der Strafverfolgungsbehörden gegen noch nachverfolgbare Mittel sowie die Frage, ob weitere Abhebungen desselben mutmaßlichen Angreifers identifiziert werden.