ZachXBT koppelt cryptodiefstal van $133 miljoen aan Franse bank Crédit Mutuel Arkéa met $235 miljard aan activa
Belangrijkste punten
- •On-chain onderzoeker ZachXBT identificeerde het Franse bankconcern Crédit Mutuel Arkéa, met meer dan $235 miljard aan totale activa, als de entiteit achter ongeveer $133 miljoen aan verdachte cryptotransacties.
- •Op 2 november werd circa $106 miljoen in USDC en USDT opgenomen van accounts bij gecentraliseerde beurzen, gevolgd door een tweede golf van ongeveer $27 miljoen, vooral via Kraken-wallets.
- •De aanvaller wisselde stablecoins om naar ETH, converteerde een deel van de fondsen naar Monero via Wagyu Wallet en kocht 27.553 ETH tegen een gemiddelde prijs van $2.286 per munt.
- •ZachXBT stelde dat het witwaspatroon niet overeenkomt met de gebruikelijke methoden van de Lazarus Group, die doorgaans vertrouwt op on-chain operaties en Ethereum-mixers in plaats van omwisselingen via gecentraliseerde beurzen.
- •Kraken heeft de gemarkeerde wallets beperkt, maar de fondsen zijn niet bevroren, en ook Circle noch Tether heeft de stablecoin-adressen bevroren, in tegenstelling tot hun snelle reactie op de recente Binance-hack.
On-chain onderzoeker ZachXBT, bekend van het traceren van hacks en gestolen fondsen over blockchains heen, heeft het Franse bankconcern Crédit Mutuel Arkéa geïdentificeerd als de Europese entiteit achter ongeveer $133 miljoen aan verdachte cryptotransacties die hij de afgelopen dagen volgde. De bevindingen suggereren dat een grote Europese instelling is gecompromitteerd; de Franse bank heeft vooralsnog niet gereageerd.
Naar verluidt kwamen de verliezen uit de cryptowallets van Crédit Mutuel Arkéa, een regionaal merk van de bredere Crédit Mutuel Group. De bankinstelling heeft meer dan $235 miljard aan totale activa, waarbij crypto slechts een klein deel van de portefeuille uitmaakt. De aanval op de wallets duurde meerdere dagen en omvatte on-chain swaps en andere operaties, en ZachXBT zoekt nog steeds naar aanvullende verliezen en pogingen om de fondsen wit te wassen.
De reikwijdte van Crédit Mutuel Arkéa gaat verder dan bankieren en verzekeringen. De groep biedt bankdiensten en witlabel-betalingsverwerking voor fintechs en neobanken, waarvan sommige crypto aanhouden — waaronder Stripe. De dochteronderneming Arkéa Banking Services (ABS) biedt SEPA-overboekingen, fiat-on-ramps en accounts voor fintechs die aan MiCAR voldoen — dat wil zeggen bedrijven die opereren onder het EU-kader voor cryptomarkten (Markets in Crypto-Assets). De bank en haar dochterondernemingen hebben hun cryptobezittingen of publiek toegankelijke wallets niet bekendgemaakt, waardoor de verdachte transacties alleen werden opgemerkt door enkele van de meest gebruikte gecentraliseerde beurzen te monitoren.
Fondsen verplaatst via gecentraliseerde beurzen
De aanval haalde fondsen weg uit een reeks accounts bij gecentraliseerde beurzen. Op 2 november identificeerde ZachXBT $106 miljoen aan verliezen verspreid over meerdere accounts bij gecentraliseerde beurzen, waarbij de fondsen in USDC en USDT werden opgenomen, de stablecoins die respectievelijk door Circle en Tether worden uitgegeven.
De dader wisselde vervolgens USDC om naar ETH via instant exchanges zoals WellWallet en Kyrrex, onder anderen. Een deel van de fondsen werd omgezet naar Monero (XMR), een privacygericht asset dat transactiegegevens bij ontwerp verhult, via Wagyu Wallet en gebrugd naar andere chains.
ZachXBT merkte op dat dit witwasmodel niet past bij de gebruikelijke werkwijze van de Lazarus Group, de hackergroep die aan Noord-Korea wordt toegeschreven. Noord-Koreaanse hackers verplaatsen gestolen fondsen doorgaans snel via on-chain operaties, meestal met Ethereum en zijn mixers, waardoor omwisselingen via gecentraliseerde beurzen een ongebruikelijk witwaspatroon zijn.
Opnames geconcentreerd in Kraken-accounts
Op basis van de daderwallets die ZachXBT heeft samengebracht, werd een deel van de fondsen opgenomen uit een Kraken hot wallet en later gesplitst in kleinere reservebedragen en verplaatst naar nieuwe adressen. Na een dag van aanvallen beperkte Kraken de wallets die met de exploit waren verbonden, hoewel de fondsen niet zijn bevroren — een beperking die activiteit via de gemarkeerde accounts stopt, maar de tokens zelf onaangetast laat.
De eerste aanvalsgolf gebruikte 11 nieuwe wallets, die vooral fondsen opnamen uit Krakens hot wallet. Verschillende transacties kwamen ook van wallets van Crypto.com en OKX, wat op meerdere gecompromitteerde accounts duidt. Een tweede golf van opnames verplaatste nog eens $27 miljoen, wederom vooral via Kraken-wallets.
De opnames bij de beurzen gingen door, zelfs nadat ZachXBT zijn eerste melding had gedaan, zonder directe reactie van de Franse bank. "Mijn werkhypothese is dat een grote financiële instelling in West-Europa is gexploiteerd en dat dit momenteel wordt doodgezwegen," liet ZachXBT weten via zijn Telegram-kanaal. Tot op heden, aldus ZachXBT, is al meer dan $30 miljoen witgewassen, zonder tekenen van asset freezes door de EU-rechtshandhaving.
Dader werd ETH-walvis
De onbekende aanvaller trok de afgelopen week ook de aandacht van on-chain explorers door zich te gedragen als een grootschalige ETH-koper. Het eerste teken was een onbekende wallet die 27.553 ETH kocht tegen een gemiddelde prijs van $2.286 per ETH. Na de recente prijsdaling was het niet ongebruikelijk dat walvissen grootschalig instapten, en pas later werd de walvisadres geïdentificeerd als verbonden met de lopende exploit.
In plaats van de ETH als reserve aan te houden, begon de wallet de fondsen wit te wassen via meerdere apps en platforms.
Ondanks de opnames in USDC en USDT zijn de stablecoins niet bevroren. Dat besluit contrasteert met de snelle reactie op de recente Binance-hack, waarbij Circle en Tether onmiddellijk de gemarkeerde addresses van de aanvallers bevroren. Of een van beide uitgevers dezelfde behandeling toepast op de adressen die met deze zaak zijn verbonden, en of Crédit Mutuel Arkéa publiek op de inbreuk reageert, blijft onopgelost.
