Il ricercatore on-chain ZachXBT, noto per il tracciamento di hack e fondi rubati sulle blockchain, ha identificato il gruppo bancario francese Crédit Mutuel Arkéa come l'entità europea dietro circa 133 milioni di dollari di deflussi sospetti di crypto tracciati negli ultimi giorni. I risultati suggeriscono che una grande istituzione europea è stata compromessa, e la banca francese non ha subito commentato.

Le perdite provengono, secondo quanto riportato, dai wallet crypto di Crédit Mutuel Arkéa, un marchio regionale del più ampio Crédit Mutuel Group. L'entità bancaria detiene oltre 235 miliardi di dollari in attivi totali, con le crypto che rappresentano solo una piccola parte del suo portafoglio. L'attacco ai wallet si è sviluppato su più giorni e ha incluso scambi on-chain e altre operazioni, e ZachXBT sta ancora cercando ulteriori perdite e tentativi di riciclaggio dei fondi.

L'impronta di Crédit Mutuel Arkéa va oltre il banking e le assicurazioni. Il gruppo fornisce servizi bancari e elaborazione di pagamenti white-label per fintech e neobanche, alcune delle quali detengono crypto — tra cui Stripe. La sua controllata, Arkéa Banking Services (ABS), offre bonifici SEPA, on-ramp in valuta fiat e account per fintech conformi a MiCAR — ovvero società che operano nel quadro europeo sui Mercati dei Crypto-Asset. La banca e le sue controllate non hanno divulgato le proprie partecipazioni in crypto o i wallet pubblici, ed è per questo che le transazioni sospette sono state rilevate solo monitorando alcuni degli exchange centralizzati più utilizzati.

Fondi spostati attraverso exchange centralizzati

L'attacco ha prosciugato fondi da una serie di account su exchange centralizzati. Il 2 novembre, ZachXBT ha identificato perdite per 106 milioni di dollari su più account di exchange centralizzati, con fondi prelevati in USDC e USDT, le stablecoin emesse rispettivamente da Circle e Tether.

L'attore della minaccia ha poi scambiato USDC in ETH tramite exchange istantanei, tra cui WellWallet e Kyrrex, tra gli altri. Parte dei fondi è stata convertita in Monero (XMR), un asset orientato alla privacy che oscura i dettagli delle transazioni per design, attraverso Wagyu Wallet e trasferito su altre catene.

ZachXBT ha osservato che questo modello di riciclaggio non corrisponde alle procedure operative abituali del gruppo Lazarus, il collettivo di hacker attribuito alla Corea del Nord. Gli hacker nordcoreani spostano tipicamente i fondi rubati rapidamente attraverso operazioni on-chain, utilizzando per lo più Ethereum e i suoi mixer, il che rende gli scambi tramite exchange centralizzati uno schema di riciclaggio insolito.

Prelievi concentrati su account Kraken

In base ai wallet dell'attore della minaccia aggregati da ZachXBT, parte dei fondi è stata prelevata da un hot wallet di Kraken e successivamente suddivisa in riserve più piccole e spostata su nuovi indirizzi. Dopo un giorno di attacchi, Kraken ha limitato i wallet collegati all'exploit, anche se i fondi non sono stati congelati — una restrizione che arresta l'attività attraverso gli account segnalati ma lascia intatti i token stessi.

La prima ondata di attacchi ha utilizzato 11 nuovi wallet, prelevando fondi prevalentemente dall'hot wallet di Kraken. Diverse transazioni provenivano anche da wallet Crypto.com e OKX, suggerendo più account compromessi. Una seconda ondata di prelievi ha spostato altri 27 milioni di dollari, coinvolgendo ancora per lo più wallet Kraken.

I prelievi dagli exchange sono continuati anche dopo l'annuncio iniziale di ZachXBT, senza alcun commento immediato della banca francese. "La mia ipotesi di lavoro è che una grande istituzione finanziaria dell'Europa occidentale sia stata compromessa e che al momento si stia insabuiando la questione", ha commentato ZachXBT attraverso il suo canale Telegram. Ad oggi, ha osservato, oltre 30 milioni di dollari sono già stati riciclati, senza segni di congelamento degli asset da parte delle forze dell'ordine UE.

L'attore della minaccia è diventato un whale ETH

L'attaccante sconosciuto ha attirato anche l'attenzione degli explorer on-chain nella scorsa settimana comportandosi come un acquirente di ETH su larga scala. Il primo segnale è stato un wallet sconosciuto che ha acquistato 27.553 ETH a un prezzo medio di 2.286 dollari per ETH. In seguito al recente ribasso dei prezzi, non era insolito che i whale entrassero su larga scala, e solo in seguito l'indirizzo del whale è stato identificato come collegato all'exploit in corso.

Invece di trattenere l'ETH come riserve, il wallet ha iniziato a riciclare i fondi attraverso molteplici app e piattaforme.

Nonostante i prelievi in USDC e USDT, le stablecoin non sono state congelate. Questa decisione contrasta con la rapida reazione al recente hack di Binance, in cui Circle e Tether hanno immediatamente congelato gli indirizzi degli exploiter segnalati. Se uno dei due emittenti applicherà lo stesso trattamento agli indirizzi collegati a questo caso, e se Crédit Mutuel Arkéa affronterà pubblicamente la violazione, restano questioni irrisolte.