フランスの銀行クレディ・ミュチュアル・アルケアは水曜日、サイバー攻撃によりハッカーが同銀行の自己口座から不正送金を実行できたことを確認した。オンチェーン調査者のZachXBTはこの盗難額を1億3,300万ドル超と推定しているが、銀行はこの金額を確認していない。

ブルターニュに拠点を置く同銀行は声明の中で、事象は制御下にあり、業務は再開されており、顧客資産は影響を受けていないと説明した。同銀行は予防措置として一部の取引を停止した。

「この事象は（顧客の）資産に影響を与えておらず、一部の送金の実行が遅延しただけです」と、同銀行はウェブサイト上で述べた。ロイターが公開した翻訳による。

続報の質疑応答文書の中で、クレディ・ミュチュアル・アルケアは、攻撃者がサービスプロバイダーの一つのプラットフォームを経由して銀行に直接到達したと説明。攻撃者は銀行の自己口座を使用して他の銀行へ送金し、その後、専門プラットフォームを通じて資金を暗号資産に換算できた可能性があるとしている。

同銀行によると、連合や子会社の顧客口座は使用されていない。また、攻撃者がオンラインバンキング部門のFortuneoから侵入したというフランス報道を否定し、この事象は人為的ミスの結果ではなく「外部からの高度な攻撃」だと説明した。

損失の規模

同銀行は最終的な金額を公表していない。1億1,800万ユーロ（1億3,300万ドル）が盗まれたのかと問われた際、同銀行はこの数字を確認せず、「桁の大きさのみを検証可能」と述べた。

同銀行によると、関係する資金の一部は凍結されており、残りを回収するための追加措置が進行中である。また、問題の金額は財務の健全性を脅かすには「全く」大きくないと付け加えた。

AFPは、同銀行が暫定推計で攻撃による損失を約1億ユーロと見積もったと報じた。水曜日の早い時期にロイターは、損失が1億3,300万ドルより少ないと銀行が述べたと報じた。「最終的な金額を示すにはまだ早すぎます」と、報道機関に広報担当者が語った。

ZachXBTの報告内容

ZachXBTは月曜日、被害者名を明かさずにこの事象を最初に指摘した。Telegramチャンネルへの投稿で、11月1日にEUの法人が複数の中央ized型取引所口座から1億600万ドル超を失ったと疑われ、資金はUSDCおよびUSDTとして引き出されたと述べた。資金はその後イーサに交換され、複数のチェーン間を移動したという。更新の中で、取引所からの引き出しでさらに2,700万ドル以上を発見し、合計が1億3,300万ドル超に達したと述べた。後の投稿では、クレディ・ミュチュアル・アルケアが被害者として名指しされた。攻撃は「複数日間にわたり発生した」とし、店頭取引の活動を含めれば盗まれた金額はさらに大きいと疑っていると記した。

同銀行は彼の金額もタイムラインも確認していない。攻撃の開始時期、背後の人物、データが持ち出されたかどうかについても言及していない。クレディ・ミュチュアル・アルケアは、攻撃の出所と実行方法を特定するため司法・警察当局と連携しており、攻撃を検知した時点で監督当局に通報したと述べた。また、事象後にフィッシング攻撃の可能性があると顧客に警告した。

銀行の背景

クレディ・ミュチュアル・アルケアは、ブルターニュと南西フランスのクレディ・ミュチュアル連合を統括し、より大きなクレディ・ミュチュアル・グループの一部である。ロイターによると、580万人の顧客を有し、2,115億ユーロ（約2,380億ドル）の資産を保有している。AFPによると、上半期に2億3,000万ユーロの純利益を計上した。

今回のハッキングは、記録的な63.4億ドルのバイナンス・ハッキングから1週間足らずで発生した。ブロックチェーン分析企業はこのハッキングを北朝鮮に結び付けている。ZachXBTは最初の投稿で、この事象が北朝鮮のLazarusグループによるものではないと高い確信を持っていると述べた。また、ブラジルのメルカド・ビットコインは今週、セキュリティ事象を受けて入出金を凍結した。

銀行が資金のどれだけを回収できるか、そして今回の事象による最終的な損失額がどれほどになるかは、依然として不明である。

この記事はBitcoin Magazineに最初に掲載され、Micah Zimmermanによって執筆されました。