De Franse bankengroep Crédit Mutuel Arkéa heeft bevestigd dat het slachtoffer werd van een cyberaanval die frauduleuze transacties mogelijk maakte, één dag nadat ZachXBT, een pseudonieme onchain-onderzoeker die bekend staat om het traceren van gestolen cryptofondsen, de bank aanwees als vermoedelijk slachtoffer van een cryptodiefstal van meer dan $133 miljoen.

In een verklaring die dinsdag aan Decrypt werd gedeeld, zei Crédit Mutuel Arkéa dat het incident "gesloten en nu onder controle" was. De bank zei dat de activiteiten geleidelijk worden hervat nadat sterkere beveiligingsmaatregelen waren genomen, en dat de activa van klanten niet zijn getroffen. De aanval vertraagde de uitvoering van enkele overbokingen, aldus de bank.

De bank noemde cryptocurrency niet en maakte niet bekend hoeveel geld is gestolen. Ze zei dat de getroffen bedragen nog worden beoordeeld, maar dat deze "in elk geval niet van een aard zijn om de soliditeit en financiële gezondheid van de groep in twijfel te trekken", volgens de vertaling van Decrypt.

Crédit Mutuel Arkéa zei dat het de bevoegde toezichthoudende autoriteiten zo snel mogelijk na de ontdekking van de aanval op de hoogte heeft gesteld. Het schortte bovendien tijdelijk bepaalde transacties op als voorzorgsmaatregel tegen verdere frauduleuze bewegingen en waarschuwde klanten om alert te zijn op phishingpogingen na het incident — een veelvoorkomend vervolgrisico na publiek geworden inbreuken, wanneer oplichters zich voordoen als de getroffen instelling. Decrypt meldde contact te hebben opgenomen met de bank voor nadere toelichting, onder meer over de vraag of de verliezen crypto-activa betroffen.

De beschuldigingen van ZachXBT

"Het onthullen van de EU-financiële instelling die werd misbruikt voor meer dan $133 miljoen is naar verluidt Credit Mutuel Arkea, een Franse bank met $235 miljard aan activa", schreef ZachXBT dinsdag op zijn Telegram-kanaal: https://t.me/investigations/375

"De aanval op de bank duurde meerdere dagen. Ik vermoed dat het gestolen bedrag hoger is wanneer OTC-activiteit wordt meegerekend", voegde hij toe.

ZachXBT bracht de vermoedelijke diefstal voor het eerst onder de aandacht op maandag, toen hij meldde dat een niet bij naam genoemde entiteit in de Europese Unie mogelijk meer dan $106 miljoen verloor van accounts bij meerdere crypto-exchanges op 1 november. Volgens zijn oorspronkelijke bericht werden de fondsen opgenomen als USDC en USDT. De aanvaller wisselde vervolgens USDC om naar ETH, verplaatste fondsen via instant exchanges, zette een deel van de activa om in de privacycoin Monero — veel moeilijker te traceren dan transparante chains zoals Ethereum omdat het grootboek afzenders, ontvangers en bedragen verbergt — en bracht fondsen via meerdere blockchaine netwerken over, een witwaspatroon dat bij grote cryptodiefstallen vaak wordt gebruikt om transacties te versplinteren en de herkomst van gestolen fondsen te verhullen.

In een update op dinsdag zei ZachXBT dat hij nog eens $27 miljoen aan exchange-opnames door de aanvaller had geïdentificeerd, waarmee het totaal op meer dan $133 miljoen komt. Enkele van die opnames vonden plaats na zijn eerste openbaarmaking, aldus ZachXBT, die tevens vier Ethereum-adressen publiceerde die volgens hem met de diefstal verband hielden: https://t.me/investigations/374

"Mijn werkhypothese is dat een grote financiële instelling in West-Europa werd misbruikt en dat dit momenteel wordt doofpot", schreef ZachXBT in zijn eerste rapport. Hij beschuldigde de instelling ervan geen "adequate incidentopenbaarmaking" te hebben verricht, waardoor de politie niet ongeveer $30 miljoen aan gestolen fondsen kon bevriezen.

ZachXBT lichtte niet toe hoe hij de bank identificeerde of hoe de aanvaller toegang kreeg tot de exchange-accounts. Hij zei ook dat de vermoedelijke aanvaller nog niet is geïdentificeerd. Wel schreef hij "met een hoge mate van zekerheid" te kunnen zeggen dat het "NIET de Lazarus Group" is, het Noord-Koreaanse hackercollectief, "gebaseerd op meerdere witwasindicatoren".

De beschuldiging volgt op berichten dat Crédit Mutuel Arkéa zich voorbereidde op een intrede in de cryptosector. In mei meldde het Franse financiële dagblad L'Agefi dat de groep een licentie onder MiCA had aangevraagd — het crypto-reguleringskader van de Europese Unie, dat een pan-Europese licentieregeling voor aanbieders van crypto-dienstverlening creëerde — om cryptodiensten aan retailklanten aan te bieden en op white-labelbasis te leveren via de divisie Arkéa Banking Services:

De beschuldiging volgt enkele dagen na de hack van Binance ter waarde van $6,3 miljard, die in het bronrapport wordt omschreven als de grootste cryptodiefstal ooit. De FBI schrijft die aanval toe aan Noord-Koreaanse hackers. ZachXBT zei dat de vermoedelijke EU-diefstal op basis van de door hem beoordeelde witwasindicatoren niet lijkt te zijn uitgevoerd door de Lazarus Group.

Verschillende vragen blijven open: de beoordeling door de bank van de getroffen bedragen loopt nog, zij heeft niet gezegd of crypto-activa tot de verliezen behoorden, en ZachXBT heeft gezegd dat het totaal hoger kan liggen zodra OTC-activiteit is meegerekend.

Dit bericht is bijgewerkt met een reactie van Crédit Mutuel Arkéa.