Crédit Mutuel Arkéa ha confermato che un cyberattacco ha consentito operazioni fraudolente presso il gruppo bancario francese, un giorno dopo che l'investitore on-chain ZachXBT — un ricercatore pseudonimo noto per documentare pubblicamente i grandi furti di criptovalute — lo aveva identificato come presunta vittima di un furto in criptovalute superiore a 133 milioni di dollari. La banca ha dichiarato che l'incidente era sotto controllo e che gli asset dei clienti non erano stati compromessi, ma non ha divulgato l'importo sottratto né confermato perdite in criptovalute.

Secondo il gruppo, le operazioni riprendono gradualmente dopo l'introduzione di misure di sicurezza rafforzate. Alcuni trasferimenti erano stati ritardati e la banca ha temporaneamente sospeso alcune transazioni per prevenire ulteriori movimenti fraudolenti.

"Chiuso e ora sotto controllo"

In una dichiarazione condivisa con Decrypt mercoledì, Crédit Mutuel Arkéa ha descritto l'incidente come "chiuso e ora sotto controllo". La banca ha dichiarato di aver informato le pertinenti autorità di vigilanza non appena ha rilevato l'attacco, e ha avvertito i clienti di rimanere vigili contro i tentativi di phishing successivi all'incidente, in cui gli aggressori si spacciano per istituzioni affidabili per indurre le persone a consegnare credenziali o fondi.

Gli importi coinvolti erano "in ogni caso tali da non mettere in discussione la solidità e la salute finanziaria del gruppo", ha aggiunto la banca, secondo la traduzione di Decrypt. La dichiarazione non menzionava criptovalute e non forniva alcuna cifra relativa all'importo sottratto. Decrypt ha dichiarato di aver chiesto al gruppo se le perdite riguardassero criptovalute.

La conferma è seguita all'identificazione pubblica da parte di ZachXBT di Crédit Mutuel Arkéa come istituzione che riteneva fosse stata colpita. In un post su Telegram martedì, aveva citato il gruppo e sostenuto un furto di oltre 133 milioni di dollari, affermando che l'attacco si era protratto per più giorni e che il totale poteva essere superiore una volta conteggiate le attività over-the-counter.

La versione di ZachXBT sui prelievi

ZachXBT aveva segnalato per la prima volta il sospetto furto lunedì. Ha dichiarato che un'entità non identificata dell'Unione europea potrebbe aver perso più di 106 milioni di dollari da conti presso diversi exchange di criptovalute il 1° novembre, con fondi prelevati in USDC e USDT, due stablecoin ancorate al dollaro.

Secondo l'investigatore, l'attaccante ha poi scambiato USDC in ETH, spostato fondi tramite exchange istantanei, convertito una parte in Monero, una criptovaluta orientata alla privacy che oscura i dettagli delle transazioni, e trasferito asset tramite bridge su più catene. Ha poi dichiarato di aver identificato altri 27 milioni di dollari in prelievi da exchange, portando il totale riportato a oltre 133 milioni di dollari, con alcuni prelievi avvenuti dopo la sua divulgazione iniziale.

ZachXBT ha anche pubblicato quattro indirizzi Ethereum che, secondo lui, erano collegati al furto. Non ha spiegato come abbia identificato la banca né come l'attaccante abbia avuto accesso ai conti degli exchange, e la dichiarazione della banca non ha confermato tali dettagli né collegato le operazioni fraudolente ai presunti movimenti in criptovalute.

L'investigatore ha inoltre accusato l'istituzione di non aver fornito un'adeguata "divulgazione dell'incidente", affermando che questa mancanza ha impedito alle forze dell'ordine di congelare circa 30 milioni di dollari in fondi rubati. Tali affermazioni restano accuse di ZachXBT, e il rapporto di fonte non includeva una risposta della banca all'accusa.

Piani riportati per una licenza MiCA

L'accusa è emersa mentre il gruppo bancario si prepara a espandersi nei servizi crypto. Il giornale finanziario francese L'Agefi ha riportato a maggio che Crédit Mutuel Arkéa aveva presentato domanda di licenza ai sensi del regolamento MiCA (Markets in Crypto-Assets) dell'UE, il regime di licenze del blocco per i fornitori di servizi basati su crypto-asset. Il piano riportato prevedeva di offrire servizi a clienti retail tramite Arkéa Banking Services su base white-label. La banca non ha collegato l'incidente ai suoi piani crypto riportati.

Decrypt ha riportato l'accusa pochi giorni dopo l'hack da 6,3 miliardi di dollari di Binance, attribuito dall'FBI a hacker nordcoreani. ZachXBT ha dichiarato che il sospetto attaccante nel caso UE restava non identificato e che poteva escludere il gruppo Lazarus, il collettivo di hacker legato alla Corea del Nord, con un "alto grado di fiducia", citando molteplici indicatori di money laundering.

La banca ha dichiarato che alcune operazioni riprendevano gradualmente dopo il rafforzamento delle misure di sicurezza. L'importo interessato resta in fase di valutazione, e il gruppo non ha confermato se criptovalute fossero coinvolte. La ricostruzione dei prelievi da exchange fornita da ZachXBT resta un'accusa nella ricostruzione, e il metodo con cui l'attaccante ha avuto accesso ai conti degli exchange non è stato spiegato. Gli aspetti da seguire sono la valutazione finale delle perdite del gruppo, la risposta sul coinvolgimento di criptovalute e l'eventuale capacità delle forze dell'ordine di congelare o recuperare parte dei fondi.