Crédit Mutuel Arkéa potwierdził, że cyberatak umożliwił przeprowadzenie oszukańczych operacji we francuskiej grupie bankowej — dzień po tym, jak śledczy on-chain ZachXBT — pseudonimowy badacz znany z publicznego dokumentowania wielkich kradzieży kryptowalut — wskazał ją jako rzekomego poszkodowanego w kradzieży kryptowalut przekraczającej 133 miliony dolarów. Bank oświadczył, że incydent jest opanowany, a aktywa klientów nie ucierpiały, ale nie ujawnił, jaka kwota została wykradziona, ani nie potwierdził strat w kryptowalutach.

Według grupy operacje są stopniowo wznawiane po wprowadzeniu zaostrzonych środków bezpieczeństwa. Część przelewów została opóźniona, a bank tymczasowo wstrzymał niektóre transakcje, aby zapobiec dalszym oszukańczym przepływom.

„Zamknięty i teraz opanowany”

W oświadczeniu przekazanym Decrypt w środę Crédit Mutuel Arkéa opisał incydent jako „zamknięty i teraz opanowany”. Bank powiedział, że powiadomił właściwe organy nadzoru natychmiast po wykryciu ataku, oraz ostrzegł klientów, aby po incydencie zachowali czujność wobec prób phishingu, w ramach których oszuści podszywają się pod zaufane instytucje, by nakłonić ludzi do przekazania danych logowania lub środków.

Zaangażowane kwoty „w żadnym wypadku nie są takiego charakteru, aby podważać stabilność i kondycję finansową grupy” — dodał bank, zgodnie z tłumaczeniem Decrypt. Oświadczenie nie wspominało o kryptowalutach ani nie podawało kwoty kradzieży. Decrypt poinformował, że zapytał grupę, czy straty dotyczyły kryptowalut.

Potwierdzenie nastąpiło po publicznym wskazaniu przez ZachXBT Crédit Mutuel Arkéa jako instytucji, która — jego zdaniem — została zaatakowana. We wtorkowym poście na Telegramie nazwał grupę i zarzucił kradzież ponad 133 milionów dolarów, twierdząc, że atak trwał kilka dni, a łączna kwota może być wyższa po uwzględnieniu działalności pozagiełdowej (OTC).

Relacja ZachXBT o wypłatach

ZachXBT po raz pierwszy zgłosił podejrzenie kradzieży w poniedziałek. Powiedział, że nienazwany podmiot z Unii Europejskiej mógł stracić ponad 106 milionów dolarów z kont na kilku giełdach kryptowalut 1 listopada, a środki zostały wypłacone w USDC i USDT — dwóch stablecoinach powiązanych z dolarem.

Według śledczego atakujący następnie zamienił USDC na ETH, przemieszczał środki przez błyskawiczne giełdy, przekonwertował część na Monero — kryptowalutę nastawioną na prywatność, która zaciemnia szczegóły transakcji — i przeniósł aktywa przez wiele łańcuchów. Później powiedział, że zidentyfikował kolejne 27 milionów dolarów wypłat z giełd, co podniosło raportowaną łączną kwotę do ponad 133 milionów dolarów, przy czym część wypłat nastąpiła po jego pierwszym ujawnieniu.

ZachXBT opublikował również cztery adresy Ethereum, które — jak twierdził — były powiązane z kradzieżą. Nie wyjaśnił, jak zidentyfikował bank ani jak atakujący uzyskał dostęp do kont giełdowych, a oświadczenie banku ani nie potwierdziło tych szczegółów, ani nie powiązało oszukańczych operacji z rzekomymi przepływami kryptowalut.

Śledczy zarzucił ponadto instytucji brak „właściwego ujawniania incydentów”, twierdząc, że to opóźnienie uniemożliwiło organom ścigania zamrożenie około 30 milionów dolarów skradzionych środków. Te wypowiedzi pozostają zarzutami ZachXBT, a źródłowy materiał nie zawierał odpowiedzi banku na ten zarzut.

Doniesienia o planach licencji MiCA

Zarzut pojawił się w momencie, gdy grupa bankowa przygotowuje się do rozszerzenia działalności o usługi kryptowalutowe. Francuski dziennik finansowy L'Agefi informował w maju, że Crédit Mutuel Arkéa ubiega się o licencję w ramach unijnego regulacji rynków kryptoaktywów (MiCA) — systemu licencyjnego UE dla usługodawców kryptoaktywów. Według doniesień plan zakładał oferowanie usług klientom detalicznym za pośrednictwem Arkéa Banking Services w modelu white-label. Bank nie powiązał incydentu z doniesieniami o planach kryptowalutowych.

Decrypt poinformował o zarzutach kilka dni po haku na Binance o wartości 6,3 miliarda dolarów, który FBI przypisało północnokoreańskim hakerom. ZachXBT powiedział, że podejrzany atakujący w sprawie z UE pozostaje niezidentyfikowany i że może wykluczyć grupę Lazarus — powiązaną z Koreą Północną grupę hakerską — z „wysokim stopniem pewności”, powołując się na liczne wskaźniki prania pieniędzy.

Bank oświadczył, że część operacji jest stopniowo wznawiana po wzmocnieniu środków bezpieczeństwa. Dotknięta kwota pozostaje w trakcie szacowania, a grupa nie potwierdziła, czy były zaangażowane kryptowaluty. Relacja ZachXBT o wypłatach z giełd pozostaje w doniesieniach zarzutem, a sposób, w jaki atakujący uzyskał dostęp do kont giełdowych, nie został wyjaśniony. Kwestiami do obserwowania są: ostateczna ocena strat przez grupę, odpowiedź na pytanie o udział kryptowalut oraz to, czy organy ścigania będą w stanie zamrozić lub odzyskać część środków.