Francuska grupa bankowa Crédit Mutuel Arkéa potwierdziła, że padła ofiarą cyberataku, który umożliwił przeprowadzenie oszukańczych operacji, jeden dzień po tym, jak ZachXBT — anonimowy badacz onchain znany ze śledzenia skradzionych środków kryptowalutowych — wskazał bank jako rzekomego poszkodowanego w kradzieży kryptowalut przekraczającej 133 miliony dolarów.

W oświadczeniu przekazanym Decrypt w środę Crédit Mutuel Arkéa oświadczył, że incydent został „zamknięty i jest teraz pod kontrolą”. Bank poinformował, że operacje są stopniowo wznawiane po wdrożeniu zaostrzonych środków bezpieczeństwa, a aktywa klientów nie zostały naruszone. Jak zaznaczył, atak opóźnił realizację niektórych przelewów.

Bank nie wspomniał o kryptowalutach ani nie ujawnił, jaką kwotę uzyskano. Oświadczył, że dotknięte kwoty są wciąż szacowane, ale „w każdym razie nie są natury takiej, aby podważać stabilność i kondycję finansową grupy” — według tłumaczenia Decrypt.

Crédit Mutuel Arkéa oświadczył, że powiadomił właściwe organy nadzoru, gdy tylko wykrył atak. Tymczasowo wstrzymał również pewne transakcje jako środek ostrożności wobec dalszych oszukańczych operacji oraz ostrzegł klientów przed próbami phishingu po incydencie — częstym ryzykiem następczym po nagłośnionych naruszeniach, gdy oszuści podszywają się pod poszkodowaną instytucję. Decrypt poinformował, że skontaktował się z bankiem w celu uzyskania dalszych komentarzy, w tym na temat tego, czy straty dotyczyły aktywów kryptowalutowych.

Zarzuty ZachXBT

„Ujawniam, że wyeksploatowaną instytucją finansową UE, której skradziono ponad 133 mln USD, jest rzekomo Credit Mutuel Arkea, francuski bank z aktywami wartymi 235 mld USD” — napisał ZachXBT we wtorek na swoim kanale Telegram: https://t.me/investigations/375

„Atak na bank trwał przez wiele dni. Podejrzewam, że skradziona kwota jest większa, jeśli uwzględnić aktywność OTC” — dodał.

ZachXBT po raz pierwszy zgłosił podejrzaną kradzież w poniedziałek, informując, że nienazwany podmiot w Unii Europejskiej mógł stracić ponad 106 milionów dolarów z kont na kilku giełdach kryptowalut 1 listopada. Zgodnie z jego oryginalnym postem środki zostały wypłacone jako USDC i USDT. Następnie atakujący wymienił USDC na ETH, przemieszczał środki przez natychmiastowe giełdy, przekonwertował część aktywów na coin prywatności Monero — znacznie trudniejszy do wyśledzenia niż przejrzyste łańcuchy takie jak Ethereum, ponieważ jego ledger ukrywa nadawców, odbiorców i kwoty — oraz przeniósł środki przez mosty na wiele sieci blockchain, wzorzec prania pieniędzy powszechnie stosowany w dużych kradzieżach kryptowalut w celu fragmentacji transakcji i zatarcia pochodzenia skradzionych środków.

W aktualizacji we wtorek ZachXBT oświadczył, że zidentyfikował dodatkowe 27 milionów dolarów wypłat z giełd dokonanych przez atakującego, co zwiększa łączną kwotę do ponad 133 milionów dolarów. Poinformował, że część tych wypłat nastąpiła po jego pierwotnym ujawnieniu, i opublikował cztery adresy Ethereum, które — jak stwierdził — były powiązane z kradzieżą: https://t.me/investigations/374

„Moja robocza teoria jest taka, że duża instytucja finansowa w Europie Zachodniej została wyeksploatowana i obecnie jest to zatajane” — napisał ZachXBT w swoim pierwotnym raporcie. Zarzucił instytucji brak przeprowadzenia „właściwego ujawnienia incydentu”, twierdząc, że uniemożliwiło to organom ścigania zamrożenie około 30 milionów dolarów skradzionych środków.

ZachXBT nie wyjaśnił, jak zidentyfikował bank ani jak atakujący uzyskał dostęp do jego kont giełdowych. Poinformował również, że tożsamość podejrzanego atakującego pozostaje nieznana. Napisał jednak, że może stwierdzić „z wysokim stopniem pewności, że to NIE jest Lazarus Group” — północnokoreańska grupa hakerska — „na podstawie wielu wskaźników prania pieniędzy”.

Zarzut pojawia się po doniesieniach, że Crédit Mutuel Arkéa przygotowywał się do wejścia w sektor kryptowalut. W maju francuski dziennik finansowy L’Agefi poinformował, że grupa wystąpiła o licencję w ramach MiCA — unijnego ramowego systemu regulacji kryptoaktywów, który stworzył paneuropejski reżim licencyjny dla dostawców usług kryptoaktywów — aby oferować usługi kryptowalutowe klientom detalicznym oraz świadczyć je w modelu white-label poprzez swoją dywizję Arkéa Banking Services:

Zarzut pojawił się także kilka dni po haku na Binance o wartości 6,3 miliarda dolarów, opisanym w raporcie źródłowym jako największa udokumentowana kradzież kryptowalut. FBI przypisało ten atak północnokoreańskim hakerom. ZachXBT oświadczył, że podejrzana kradzież w UE najwyraźniej nie została przeprowadzona przez Lazarus Group, biorąc pod uwagę wskaźniki prania pieniędzy, które przeanalizował.

Szereg pytań pozostaje otwarty: ocena dotkniętych kwot przez bank wciąż trwa, bank nie poinformował, czy wśród strat były aktywa kryptowalutowe, a ZachXBT oświadczył, że łączna kwota może być większa po uwzględnieniu aktywności pozagiełdowej (OTC).

Ta historia została zaktualizowana o komentarz Crédit Mutuel Arkéa.