ZachXBT wijst Franse bank Crédit Mutuel Arkéa aan als vermoedelijk slachtoffer van diefstal van $133 miljoen in crypto
Belangrijkste punten
- •ZachXBT identificeerde op 4 november Crédit Mutuel Arkéa, een Franse bankengroep met circa $235 miljard aan activa, als het vermoedelijke slachtoffer van een cryptodiefstal van meer dan $133 miljoen.
- •Het onderzoek begon op 2 november met meer dan $106 miljoen aan verdachte opnames van beursaccounts verbonden aan een niet-geïdentificeerde EU-entiteit, en op 3 november werden nog eens $27 miljoen aan opnames van dezelfde aanvaller ontdekt.
- •De gestolen fondsen werden aanvankelijk opgenomen in USDC en USDT en gerouteerd via Ethereum, directe exchanges, cross-chain bridges en Monero, wat het traceren van de activa bemoeilijkt.
- •Crédit Mutuel Arkéa heeft publiek geen connectie met de transacties bevestigd en heeft geen financiële verliezen erkend, waardoor de vermeende inbreuk ongeverifieerd blijft.
- •ZachXBT stelde dat de vertraagde openbaarmaking meer dan $30 miljoen buiten potentiële herstelmaatregelen bracht en zei dat de transactiepatronen niet overeenkomen met die van de Lazarus Group uit Noord-Korea.
Blockchainonderzoeker ZachXBT heeft de Franse bankengroep Crédit Mutuel Arkéa aangemerkt als het vermoedelijke slachtoffer van een cryptodiefstal van meer dan $133 miljoen, na zijn onderzoek naar een reeks ongebruikelijke opnames van gecentraliseerde crypto-exchanges. Het incident illustreert hoe on-chain forensisch onderzoek mogelijke incidenten aan het licht kan brengen voordat een betrokken instelling ze publiek heeft erkend.
Crédit Mutuel Arkéa heeft publiek geen connectie met de transacties bevestigd en heeft geen financiële verliezen erkend. Daardoor blijven de vermeende inbreuk, het betrokken bedrag en de band van de bank met de activiteit ongeverifieerd.
Tijdlijn van het onderzoek
Op 4 november zou ZachXBT Crédit Mutuel Arkéa hebben geïdentificeerd als de instelling die mogelijk is geraakt door de verdachte transacties. De bankengroep beheert circa $235 miljard aan activa, wat de vermeende diefstal tot een opmerkelijke gebeurtenis zou maken voor de traditionele financiële sector.
Het onderzoek begon op 2 november, toen ZachXBT meer dan $106 miljoen aan verdachte crypto-opnames signaleerde. De transacties zouden afkomstig zijn van beursaccounts verbonden aan een niet-geïdentificeerde Europese entiteit, zoals CoinDesk meldde. Opnames van deze omvang zijn precies het soort activiteit dat on-chain onderzoekers doorgaans monitoren, aangezien ongebruikelijk snelle geldstromen tussen beursaccounts kunnen wijzen op ongeautoriseerde toegang of gecompromitteerde accounts.
Een dag later, op 3 november, ontdekte de onderzoeker nog eens $27 miljoen aan opnames verbonden aan dezelfde vermoedelijke aanvaller, waarmee de geschatte waarde van de vermeende diefstal boven de $133 miljoen uitkwam.
ZachXBT suggereerde ook dat een grote West-Europese financiële instelling het incident mogelijk niet heeft gemeld. Er is echter geen onafhankelijk bewijs dat de bank een beveiligingsinbreuk bewust heeft verborgen.
Gestolen fondsen verplaatst via Ethereum en Monero
Analyse van blockchaintransacties toont aan dat de vermoedelijke aanvaller aanvankelijk fondsen opnam in de stablecoins USDC en USDT — de twee meest gebruikte aan de dollar gekoppelde tokens, waarvan de bewegingen over publieke blockchains transactie voor transactie te volgen zijn. De activa werden vervolgens gerouteerd via Ethereum, directe cryptocurrency-exchanges en cross-chain bridges, een combinatie van routestappen die een audit trail over meerdere netwerken en diensten kan versplinteren.
Onderzoekers identificeerden ook transacties met Monero, een privacygerichte cryptocurrency die transactiegegevens verbergt. Dergelijke overdrachten kunnen het voor autoriteiten aanzienlijk moeilijker maken om activa te traceren en gestolen fondsen terug te vorderen.
ZachXBT stelde dat de vertraagde openbaarmaking meer dan $30 miljoen buiten potentiële herstelmaatregelen bracht, en suggereerde dat Europese handhavingsautoriteiten enkele activa bevroren hadden kunnen zijn bij eerdere melding. Hij voegde eraan toe dat de transactiepatronen niet leken op die die doorgaans worden geassocieerd met de Lazarus Group uit Noord-Korea — de aan staat gelinkte hackerscollectief dat door Amerikaanse en geallieerde autoriteiten verantwoordelijk wordt gehouden voor enkele van de grootste cryptodiefstallen ooit. De identiteit van de vermoedelijke aanvaller is nog onbekend.
Bevestiging door de bank blijft cruciaal
De beschuldigingen roepen vragen op over crypto-custody, institutionele beveiligingspraktijken en meldingsnormen binnen de Europese financiële sector — een gebied dat voor EU-banken momenteel wordt gevormd door de Digital Operational Resilience Act, die sinds januari 2025 van toepassing is en financiële entiteiten verplicht om grote ICT-gerelateerde incidenten bij toezichthouders te melden. Toch kunnen verdachte blockchaintransacties alleen niet vaststellen dat een specifieke bank een bevestigd financieel verlies heeft geleden.
De autoriteiten hebben de vermeende diefstal publiek niet geverifieerd en niet vastgesteld hoe de vermoedelijke aanvaller toegang kreeg tot de beursaccounts. Verdere bevestiging van Crédit Mutuel Arkéa, de betrokken cryptocurrency-exchanges of toezichthouders is essentieel om de werkelijke omvang van het incident vast te stellen. In de tussentijd zijn de meest relevante signalen om te volgen: een publieke reactie van de bank, openbaarmakingen van de exchanges waarvan de accounts zijn gebruikt, mogelijk handhavings optreden tegen fondsen die nog traceerbaar zijn, en of er verdere opnames verbonden aan dezelfde vermoedelijke aanvaller worden geïdentificeerd.
