De Franse bank Crédit Mutuel Arkéa heeft woensdag bevestigd dat een cyberaanval hackers in staat stelde frauduleuze overschrijvingen uit te voeren vanaf de eigen rekening van de bank — een diefstal die on-chain onderzoeker ZachXBT schat op meer dan $133 miljoen, een bedrag dat de bank niet bevestigt.

De bank uit Bretagne verklaarde in een verklaring dat het incident onder controle is, dat de activiteiten worden hervat en dat het vermogen van klanten niet is getroffen. Als voorzorgsmaatregel werden een aantal transacties opgeschort.

"Dit incident heeft geen impact gehad op het vermogen van (klanten) en heeft slechts een vertraging veroorzaakt in de uitvoering van bepaalde overschrijvingen", aldus de bank op haar website, in een vertaling gepubliceerd door Reuters.

In een vervolgende vraag-en-antwoordnotitie zei Crédit Mutuel Arkéa dat de aanvalleren via het platform van een van haar dienstverleners werkten en de bank rechtstreeks bereikten. Ze gebruikten de eigen rekening van de bank om transacties naar andere banken te sturen, wat hen vervolgens mogelijk in staat stelde het geld via gespecialiseerde platforms om te zetten in cryptocurrency, aldus de bank.

Er werden geen klantrekeningen bij de federaties of dochterondernemingen gebruikt, volgens de bank. Ze ontkende ook berichten in de Franse pers dat de aanvalleren binnenkwamen via Fortuneo, de online bankiertak van de bank, en omschreef het incident als "een geavanceerde aanval van buitenaf" in plaats van het gevolg van menselijke fouten.

De omvang van het verlies

De bank heeft geen definitief bedrag genoemd. Gevraagd of 118 miljoen euro, of $133 miljoen, was gestolen, zei ze dat ze het aantal niet bevestigt en alleen de "orde van grootte" kan bevestigen.

Een deel van de betrokken fondsen is bevroren en er worden verdere stappen ondernomen om de rest terug te vorderen, aldus de bank. Ze voegde eraan toe dat de bedragen "absoluut niet" groot genoeg zijn om de financiële gezondheid of soliditeit in gevaar te brengen.

AFP meldde dat de bank in een voorlopige schatting uitging van ongeveer 100 miljoen euro. Eerder op woensdag meldde Reuters dat de bank zei dat haar verliezen lager waren dan $133 miljoen. "Het is nog te vroeg om een definitief bedrag te geven", aldus een woordvoerder tegen het persbureau.

Wat ZachXBT rapporteerde

ZachXBT signaleerde het incident maandag voor het eerst zonder het slachtoffer te noemen. Op zijn Telegram-kanaal schreef hij dat werd vermoed dat een EU-entiteit op 1 november meer dan $106 miljoen verloor via meerdere rekeningen bij gecentraliseerde exchanges, waarbij de fondsen werden opgenomen als USDC en USDT. De fondsen werden vervolgens omgewisseld in ether en over meerdere chains verplaatst, zei hij.

In een update zei hij nog eens $27 miljoen of meer aan exchange-opnames te hebben gevonden, waarmee het totaal uitkomt op meer dan $133 miljoen. Een latere post noemde Crédit Mutuel Arkéa als vermoedelijk slachtoffer. Hij schreef dat de aanval "meerdere dagen heeft plaatsgevonden" en dat hij vermoedt dat het gestolen bedrag groter is zodra over-the-counter-activiteit wordt meegerekend.

De bank heeft zijn bedrag en tijdlijn niet bevestigd. Ze heeft ook niet gezegd wanneer de aanval begon, wie erachter zat of er gegevens zijn gestolen. Crédit Mutuel Arkéa werkt met justitiële en politieke autoriteiten samen om de oorsprong van de aanval en de manier waarop deze werd uitgevoerd te achterhalen, en zei supervisors te hebben geïnformeerd zodra de aanval werd ontdekt. De bank waarschuwde klanten ook dat phishingpogingen mogelijk zijn na het incident.

Achtergrond van de bank

Crédit Mutuel Arkéa, dat de Crédit Mutuel-federaties van Bretagne en het Zuidwesten groepeert, maakt deel uit van de bredere Crédit Mutuel-groep. De bank heeft 5,8 miljoen klanten en 211,5 miljard euro, zo'n $238 miljard, aan activa, meldde Reuters. In de eerste helft van het jaar boekte ze een nettowinst van 230 miljoen euro, meldde AFP.

De hack volgt minder dan een week na de record-$6,34 miljard Binance-hack, die blockchain-analysebedrijven hebben gelinkt aan Noord-Korea. ZachXBT zei in zijn eerste post zeer overtuigd te zijn dat dit incident niet het werk was van de Lazarus Group uit Noord-Korea. Afzonderlijk liet het Braziliaanse Mercado Bitcoin deze week na een beveiligingsincident stortingen en opnames bevriezen.

Hoeveel geld de bank kan terugvorderen en hoe hoog het definitieve verlies zal zijn, is nog onbekend.

Dit artikel verscheen eerst op Bitcoin Magazine en is geschreven door Micah Zimmerman.