クレディ・ミュチュアル・アルケアは、サイバー攻撃によりフランスの銀行グループで不正な取引が可能になったことを確認した。これは、大規模な暗号資産窃取を公に記録していることで知られる匿名の調査者でありオンチェーン調査者のZachXBTが、同グループを1億3300万ドル超の暗号資産窃取の被害者と特定した翌日のことである。銀行は今回の件は管理下にあり顧客資産には影響がないと述べたが、奪われた金額の開示や暗号資産損失の確認はしていない。

同グループによると、より強固なセキュリティ対策の導入後、業務は徐々に再開している。一部の送金が遅延しており、銀行はさらなる不正な資金移動を防ぐため、特定の取引を一時停止した。

「終結し、現在は管理下にある」

水曜日にDecryptと共有された声明の中で、クレディ・ミュチュアル・アルケアは今回の件を「終結し、現在は管理下にある」と述べた。銀行は攻撃を検知した時点で速やかに所轄の監督当局に通知したとし、今回の件を受けて、信頼できる機関になりすまして認証情報や資金をだまし取るフィッシングの試みに警戒を続けるよう顧客に注意喚起した。

関与した金額は「いかなる場合においても、グループの強固さと財務健全性に疑問を生じさせるようなものではない」と、Decryptの翻訳によると銀行は付け加えた。声明では暗号資産には触れられておらず、奪われた金額についても数字は示されなかった。Decryptは、損失に暗号資産が関わっているかどうかをグループに問い合わせたと述べている。

この確認は、ZachXBTがクレディ・ミュチュアル・アルケアを自身が攻撃対象となったと考える機関であると公に特定したことを受けてのものだ。火曜日のTelegramへの投稿で彼は同グループの名前を挙げ、1億3300万ドル超の窃取を主張し、攻撃は複数日にわたり、店頭取引の活動を含めれば総額はさらに高くなる可能性があると述べた。

ZachXBTによる引き出しの説明

ZachXBTは月曜日に初めてこの窃取の疑いを提起した。彼は、名前の公表されていない欧州連合の実体が、11月1日に複数の暗号資産取引所の口座から1億600万ドル超を失った可能性があると述べた。資金は米ドル連動型のステーブルコインであるUSDCとUSDTで引き出されたという。

調査者によると、攻撃者はその後USDCをETHにスワップし、インスタント取引所を通じて資金を移動させ、取引の詳細を秘匿するプライバシー重視の暗号資産であるモネロの一部に変換し、複数のチェーン間で資産をブリッジした。彼は後に、さらに2700万ドル相当の取引所からの引き出しを特定したと述べ、報告された総額は1億3300万ドル超となり、一部の引き出しは当初の公表後に行われたという。

ZachXBTはまた、窃取に関連しているとされる4つのイーサリアムアドレスを公表した。彼は銀行をどのように特定したのか、攻撃者がどのように取引所の口座にアクセスしたのかについては説明していない。銀行の声明はこれらの詳細を確認せず、不正な取引を主張されている暗号資産の移動と結びつけてもいない。

調査者はさらに、この機関が「適切な事件開示」を欠いていたと非難し、その怠りにより法執行機関が約3000万ドルの盗まれた資金を凍結できなかったと述べた。これらの発言はあくまでZachXBTの主張であり、出典の報道にはその非難に対する銀行の回答は含まれていない。

報じられたMiCAライセンス計画

この疑惑は、銀行グループが暗号資産サービスへの拡大を準備している中で浮上した。フランスの金融紙L'Agefiは5月に、クレディ・ミュチュアル・アルケアが、暗号資産サービスプロバイダー向けのEUのライセンス制度である、EUの暗号資産市場規制（MiCA）の下でライセンスを申請したと報じた。報じられた計画では、小売顧客にサービスを提供し、アルケア・バンキング・サービスを通じて白ラベル形式で提供するとしている。銀行は今回の件を報じられた暗号資産計画と結びつけていない。

Decryptは、FBIが北朝鮮のハッカーの仕業とした63億ドルのバイナンスハッキングの数日後にこの疑惑を報じた。ZachXBTは、EU事件の容疑者の攻撃者は依然として特定されておらず、複数のマネーロンダリングの指標を挙げて、「高い確度」でラザルスグループ（北朝鮮に关联するハッキング集団）を排除できると述べた。

銀行は、セキュリティ対策の強化後、一部の業務が徐々に再開していると述べた。影響を受けた金額はまだ評価中であり、グループは暗号資産が関わっているかどうかを確認していない。ZachXBTによる取引所からの引き出しの説明は、報道において依然として主張にとどまっており、攻撃者が取引所の口座にアクセスした方法についても説明されていない。今後注視すべき未決の事項は、グループの最終的な損失評価、暗号資産の関与の有無に関する回答、そして法執行機関が資金の一部を凍結または回収できるかどうかである。