Blockchainonderzoeker ZachXBT heeft het Franse bankconcern Crédit Mutuel Arkéa aangewezen als het vermeende slachtoffer van een crypto-diefstal van meer dan $133 miljoen, waarmee een onderzoek naar verdachte opnames van meerdere gecentraliseerde beursaccounts wordt uitgebreid.

Bij de openbaarmaking van 4 november werd de instelling bij naam genoemd, nadat eerdere waarschuwingen slechts verwezen naar een niet bij naam genoemde Europese instelling. Crédit Mutuel Arkéa, een van de grootste coöperatieve bankconcerns van Frankrijk, heeft volgens ZachXBT ongeveer $235 miljard aan activa onder beheer, en hij zei dat de vermoede aanval zich over meerdere dagen uitstrekte, met mogelijke aanvullende verliezen via over-the-counter-transacties — privéonderhandelde transacties buiten publieke beurzen om.

De betrokkenheid van de bank is niet onafhankelijk bevestigd. Bij publicatie was er geen openbare reactie op de beschuldiging, en de openbaarmakingen maken niet duidelijk of de getroffen activa toebehoorden aan de instelling, haar klanten of een andere partij.

Aanvullende opnames drijven geschatte verliezen boven $133 miljoen

ZachXBT's eerste waarschuwing op 2 november meldde meer dan $106 miljoen aan vermoedelijke verliezen bij beursaccounts die de dag ervoor waren geraakt. De fondsen werden opgenomen in USDC en USDT, de twee grootste aan de dollar gekoppelde stablecoins, en vervolgens via meerdere diensten en blockchains verplaatst.

Vervolgens identificeerde hij nog eens ruim $27 miljoen aan beursopnames, waarmee zijn schatting boven de $133 miljoen uitkomt. Sommige opnames vonden plaats na zijn eerste openbare waarschuwing, wat erop wijst dat de vermoede uitstroom doorging nadat het incident al aandacht had getrokken.

De onderzoeker publiceerde 11 vermoedelijke diefstaladressen in de oorspronkelijke waarschuwing en vier extra adressen in de opvolging. Hij noemde de beurzen met de getroffen accounts niet en legde niet uit hoe de aanvaller toegang verkreeg.

Het vermoede witwassen omvatte het omwisselen van USDC naar ether, het overmaken van fondsen via instant exchanges en het omzetten van activa in Monero (XMR), een privacygerichte cryptocurrency waarvan het protocol transactiedetails verhult. ZachXBT noemde WellWallet en Kyrrex als diensten die overboekingen ontvingen en identificeerde Wagyu als een route voor conversies naar XMR. Die waarnemingen beschrijven de geldstromen; ze bewijzen niet dat deze diensten opzettelijk aan de diefstal hebben meegewerkt.

"Ik vermoed dat het gestolen bedrag groter is als je OTC-activiteit meerekent," schreef ZachXBT in de update waarin hij Arkéa noemde. Hij gaf geen afzonderlijke schatting voor die transacties.

ZachXBT bekritiseert openbaarmaking terwijl aanvaller onbekend blijft

ZachXBT beweerde ook dat onvoldoende openbaarmaking ertoe heeft geleid dat meer dan $30 miljoen kon worden witgewassen die Europese handhavingsautoriteiten anders hadden kunnen bevriezen. Hij beschreef een mogelijke doofpotaffaire als zijn werkhypothese, niet als een vaststaand feit. Noch opzettelijke verhulling, noch het bedrag dat de autoriteiten hadden kunnen onderscheppen, is onafhankelijk geverifieerd. Het bedrag van $30 miljoen betreft fondsen die vermoedelijk tijdens het incident zijn verplaatst, geen apart verlies bovenop de schatting van $133 miljoen. Het bevriezen van gestolen cryptocurrency vereist doorgaans dat beurzen, stablecoin-uitgevers of diensten die de activa beheren optreden voordat de fondsen buiten hun bereik raken.

De aanvaller is nog niet geïdentificeerd. ZachXBT zei zeer overtuigd te zijn dat de Lazarus Group — een aan Noord-Korea gelinkte hackergroepering die de Amerikaanse autoriteiten verantwoordelijk houden voor enkele van de grootste crypto-diefstallen in de sector — niet verantwoordelijk was, waarbij hij meerdere indicatoren voor witwassen aanhaalde. Hij maakte die indicatoren niet openbaar, en zijn beoordeling is geen formele toeschrijving door handhavingsautoriteiten.

De openbaarmakingen volgen op de schorsing van de diensten van Mercado Bitcoin na een inbreuk op de beveiliging en de toeschrijving door de FBI van de diefstal bij Binance aan de Noord-Koreaanse operatie TraderTraitor, waarmee de vermeende diefstal bij Arkéa wordt toegevoegd aan een recente reeks beveiligingsincidenten in de digitale-activasector. ZachXBT's berichten bieden geen bewijs dat het vermoede Arkéa-incident met een van die zaken verband houdt.

De laatste update maakt niet duidelijk hoe de beursaccounts zijn gecompromitteerd, of de ongeautoriseerde toegang is ingedamd of hoeveel cryptocurrency is bevroren of teruggevonden. Of Crédit Mutuel Arkéa publiekelijk op de beschuldiging reageert, of er verdere opnames of adressen worden gemeld, en of Europese autoriteiten of de genoemde diensten stappen ondernemen om aan het incident gerelateerde fondsen te bevriezen, zijn de belangrijkste ontwikkelingen om in de gaten te houden.