L'investigator blockchain ZachXBT ha indicato il gruppo bancario francese Crédit Mutuel Arkéa come presunta vittima di un furto di criptovalute del valore di oltre 133 milioni di dollari, a seguito della sua indagine su una serie di prelievi insoliti da exchange di criptovalute centralizzati. L'episodio illustra come l'analisi forense on-chain possa portare alla luce potenziali incidenti prima che qualsiasi istituzione interessata li abbia pubblicamente riconosciuti.

Crédit Mutuel Arkéa non ha pubblicamente confermato alcun collegamento con le transazioni né riconosciuto perdite finanziarie. Di conseguenza, la presunta violazione, l'importo coinvolto e i legami della banca con l'attività restano non verificati.

Cronologia dell'indagine

Il 4 novembre, ZachXBT avrebbe identificato Crédit Mutuel Arkéa come l'istituzione potenzialmente interessata dalle transazioni sospette. Il gruppo bancario detiene circa 235 miliardi di dollari in attività, il che renderebbe il presunto furto un evento rilevante per il settore finanziario tradizionale.

L'indagine è iniziata il 2 novembre, quando ZachXBT ha segnalato oltre 106 milioni di dollari in prelievi sospetti di criptovalute. Le transazioni provenivano, secondo quanto riferito, da account di exchange associati a un'entità dell'Unione Europea non identificata, come riportato da CoinDesk. Prelievi di questa scala sono il tipo di attività che gli investigator on-chain monitorano abitualmente, poiché flussi insolitamente rapidi tra account di exchange possono segnalare accessi non autorizzati o account compromessi.

Un giorno dopo, il 3 novembre, l'investigator ha scoperto altri 27 milioni di dollari in prelievi collegati allo stesso presunto aggressore, portando il valore stimato del presunto furto sopra i 133 milioni di dollari.

ZachXBT ha anche suggerito che un'importante istituzione finanziaria dell'Europa occidentale potrebbe non aver divulgato l'incidente. Tuttavia, nessuna prova indipendente ha stabilito che la banca abbia deliberatamente nascosto una violazione della sicurezza.

I fondi rubati spostati tramite Ethereum e Monero

L'analisi delle transazioni blockchain indica che il presunto aggressore ha inizialmente prelevato fondi in stablecoin USDC e USDT — i due token ancorati al dollaro più utilizzati, i cui movimenti sulle blockchain pubbliche possono essere seguiti transazione per transazione. Le attività sono state successivamente instradate tramite Ethereum, exchange di criptovalute istantanei e bridge cross-chain, una combinazione di passaggi che può frammentare la traccia di controllo su più reti e servizi.

Gli investigatori hanno anche identificato transazioni che coinvolgono Monero, una criptovaluta orientata alla privacy che oscura i dettagli delle transazioni. Tali trasferimenti possono rendere considerevolmente più difficile per le autorità tracciare le attività e recuperare i fondi rubati.

ZachXBT ha sostenuto che la divulgazione ritardata ha permesso a oltre 30 milioni di dollari di sfuggire a eventuali misure di recupero, e ha suggerito che le forze dell'ordine europee avrebbero potuto congelare alcune attività se avessero ricevuto una notifica anticipata. Ha aggiunto che gli schemi delle transazioni apparivano incoerenti con quelli tipicamente associati al gruppo Lazarus della Corea del Nord — il collettivo di hacker collegato allo Stato che le autorità statunitensi e alleate hanno ritenuto responsabile di alcuni dei più grandi furti di criptovalute mai registrati. L'identità del presunto aggressore resta sconosciuta.

La conferma della banca resta fondamentale

Le accuse sollevano questioni sulla custodia delle criptovalute, sulle pratiche di sicurezza istituzionale e sugli standard di segnalazione degli incidenti nel settore finanziario europeo — un ambito ora disciplinato per le banche dell'UE dal Digital Operational Resilience Act, in vigore da gennaio 2025, che richiede alle entità finanziarie di segnalare ai regolatori i principali incidenti legati alle ICT. Tuttavia, le sole transazioni blockchain sospette non possono stabilire che una particolare banca abbia subito una perdita finanziaria confermata.

Le autorità non hanno pubblicamente verificato il presunto furto né determinato come il presunto aggressore abbia avuto accesso agli account di exchange. Ulteriori conferme da parte di Crédit Mutuel Arkéa, degli exchange di criptovalute coinvolti o dei regolatori saranno essenziali per stabilire l'effettiva portata dell'incidente. Nel frattempo, i segnali più importanti da monitorare includono qualsiasi risposta pubblica della banca, le divulgazioni degli exchange i cui account sono stati utilizzati, eventuali azioni delle forze dell'ordine contro fondi ancora tracciabili e l'eventuale individuazione di ulteriori prelievi collegati allo stesso presunto aggressore.