L'investigatore blockchain ZachXBT ha identificato il gruppo bancario francese Crédit Mutuel Arkéa come presunta vittima di un furto di criptovalute superiore a 133 milioni di dollari, ampliando un'indagine sui prelievi sospetti da più conti su exchange centralizzati.

La divulgazione del 4 novembre ha nominato l'istituto dopo che gli avvisi precedenti si riferivano solo a un bersaglio europeo non identificato. Crédit Mutuel Arkéa, uno dei più grandi gruppi bancari cooperativi francesi, è stato descritto da ZachXBT come titolare di circa 235 miliardi di dollari in attivi, e ha dichiarato che il sospetto attacco sarebbe continuato per diversi giorni, con potenziali perdite aggiuntive legate a transazioni over-the-counter — scambi negoziati privatamente al di fuori degli exchange pubblici.

Il coinvolgimento della banca non è stato confermato indipendentemente. Alla pubblicazione non era stata individuata alcuna risposta pubblica all'accusa, e le divulgazioni non stabiliscono se gli attivi interessati appartenessero all'istituto, ai suoi clienti o a un altro soggetto.

Nuovi prelievi spingono le perdite stimate oltre i 133 milioni di dollari

L'avviso iniziale di ZachXBT del 2 novembre identificava oltre 106 milioni di dollari di perdite sospette da conti su exchange colpiti il giorno precedente. I fondi erano stati prelevati in USDC e USDT, le due più grandi stablecoin ancorate al dollaro, prima di essere spostati attraverso più servizi e blockchain.

Ha successivamente identificato altri oltre 27 milioni di dollari in prelievi da exchange, portando la sua stima sopra i 133 milioni di dollari. Alcuni prelievi sono avvenuti dopo il suo avviso pubblico iniziale, a indicare che i deflussi sospetti sono continuati dopo che l'incidente aveva già attirato l'attenzione.

L'investigatore ha pubblicato 11 indirizzi sospettati di furto nell'avviso originale e quattro indirizzi aggiuntivi nel follow-up. Non ha nominato gli exchange che ospitavano i conti interessati né spiegato come l'attaccante abbia ottenuto l'accesso.

Il sospetto riciclaggio prevedeva la conversione di USDC in ether, il trasferimento di fondi tramite istant exchange e la conversione degli attivi in Monero (XMR), una criptovaluta orientata alla privacy il cui protocollo oscura i dettagli delle transazioni. ZachXBT ha indicato WellWallet e Kyrrex tra i servizi che hanno ricevuto trasferimenti e identificato Wagyu come canale per le conversioni in XMR. Queste osservazioni descrivono il movimento dei fondi; non dimostrano che i servizi abbiano partecipato consapevolmente al furto.

"Sospetto che l'importo rubato sia maggiore se si considera l'attività OTC", ha scritto ZachXBT nell'aggiornamento che nomina Arkéa. Non ha fornito una stima separata per quelle transazioni.

ZachXBT critica la divulgazione mentre l'attaccante rimane non identificato

ZachXBT ha anche sostenuto che una divulgazione inadeguata ha consentito il riciclaggio di oltre 30 milioni di dollari che le forze dell'ordine europee avrebbero altrimenti potuto congelare. Ha descritto un possibile insabbiamento come la sua ipotesi di lavoro, non come un accertamento. Né la volontà di nascondere informazioni né l'importo che le autorità avrebbero potuto intercettare sono stati verificati in modo indipendente. La cifra di 30 milioni di dollari riguarda fondi presuntivamente spostati durante l'incidente, non una perdita separata da aggiungere alla stima di 133 milioni di dollari. Il congelamento di criptovalute rubate richiede in genere che exchange, emittenti di stablecoin o servizi che detengono gli attivi agiscano prima che i fondi escano dal loro controllo.

L'attaccante rimane non identificato. ZachXBT ha dichiarato di essere altamente fiducioso che il gruppo Lazarus — un collettivo di hacker legato alla Corea del Nord che le autorità statunitensi hanno ritenuto responsabile di alcuni dei più grandi furti di criptovalute del settore — non fosse responsabile, citando molteplici indicatori di riciclaggio. Non ha dettagliato pubblicamente tali indicatori, e la sua valutazione non costituisce un'attribuzione formale da parte delle forze dell'ordine.

Le divulgazioni seguono la sospensione dei servizi di Mercado Bitcoin dopo una violazione della sicurezza e l'attribuzione da parte dell'FBI del furto ai danni di Binance all'operazione TraderTraitor della Corea del Nord, aggiungendo il presunto furto ai danni di Arkéa a un recente periodo di incidenti di sicurezza nel settore degli asset digitali. I post di ZachXBT non forniscono prove che colleghino il sospetto incidente Arkéa a nessuno dei due casi.

L'ultimo aggiornamento non stabilisce come i conti sugli exchange siano stati compromessi, se l'accesso non autorizzato sia stato contenuto o quanta criptovaluta sia stata congelata o recuperata. Se Crédit Mutuel Arkéa affronterà pubblicamente l'accusa, se verranno divulgati ulteriori prelievi o indirizzi e se le autorità europee o i servizi nominati agiranno per congelare i fondi legati all'incidente sono gli sviluppi chiave da monitorare.