Badacz on-chain ZachXBT, znany ze śledzenia ataków i skradzionych środków w blockchainach, zidentyfikował francuską grupę bankową Crédit Mutuel Arkéa jako podmiot europejski stojący za około 133 milionami dolarów podejrzanych wypływów kryptowalut, które śledził przez ostatnie kilka dni. Odkrycia sugerują, że doszło do kompromitacji dużej europejskiej instytucji, a francuski bank nie skomentował natychmiast sprawy.

Według doniesień straty pochodząły z portfeli kryptowalutowych Crédit Mutuel Arkéa, regionalnej marki szerszej grupy Crédit Mutuel. Ten podmiot bankowy posiada ponad 235 miliardów dolarów aktywów ogółem, a kryptowaluty stanowią jedynie niewielką część jego portfela. Atak na portfele trwał kilka dni i obejmował wymiany on-chain oraz inne operacje, a ZachXBT nadal poszukuje kolejnych strat i prób prania środków.

Zasięg Crédit Mutuel Arkéa wykracza poza bankowość i ubezpieczenia. Grupa świadczy usługi bankowe i processing płatności white-label dla fintechów i neobanków, z których niektórzy posiadają kryptowaluty — w tym Stripe. Jej spółka zależna, Arkéa Banking Services (ABS), oferuje przelewy SEPA, bramki fiat oraz konta dla fintechów zgodnych z MiCAR — to jest firm działających w ramach unijnego rozporządzenia o rynkach kryptoaktywów. Bank i jego spółki zależne nie ujawniły swoich posiadań kryptowalut ani publicznych portfeli, dlatego podejrzane transakcje wykryto dopiero, monitorując niektóre z najczęściej używanych giełd scentralizowanych.

Środki przepływały przez giełdy scentralizowane

Atak opróżnił szereg kont na giełdach scentralizowanych. 2 listopada ZachXBT zidentyfikował straty w wysokości 106 milionów dolarów na wielu kontach giełd scentralizowanych, a środki wypłacono w USDC i USDT — stablecoinach emitowanych odpowiednio przez Circle i Tether.

Sprawca ataku następnie zamienił USDC na ETH przez natychmiastowe kantory, w tym WellWallet i Kyrrex, parmi innymi. Część środków została przekonwertowana na Monero (XMR) — aktywne skoncentrowane na prywatności, które z założenia zaciemnia szczegóły transakcji — przez Wagyu Wallet i przeniesiona na inne łańcuchy (bridge).

ZachXBT zauważył, że ten model prania pieniędzy nie odpowiada typowym procedurom operacyjnym grupy Lazarus, zbioru hakerów przypisywanego Korei Północnej. Północnokoreańscy hakerzy zwykle przemieszczają skradzione środki szybko poprzez operacje on-chain, najczęściej używając Ethereum i jego miksów, co czyni wymiany przez giełdy scentralizowane nietypowym wzorcem prania pieniędzy.

Wypłaty skoncentrowane na kontach Kraken

Na podstawie portfeli sprawcy zagregowanych przez ZachXBT część środków została wypłacona z hot walleta giełdy Kraken, a następnie podzielona na mniejsze rezerwy i przeniesiona na nowe adresy. Po dniu ataków Kraken zablokował portfele powiązane z eksploitem, choć środki nie zostały zamrożone — ograniczenie to wstrzymuje aktywność z oznaczonych kont, ale same tokeny pozostają nietknięte.

Pierwsza fala ataków wykorzystała 11 nowych portfeli, predominantly wypłacając środki z hot walleta Krakena. Kilka transakcji pochodziło również z portfeli Crypto.com i OKX, co sugeruje kompromitację wielu kont. Druga fala wypłat przeniosła kolejne 27 milionów dolarów, ponownie głównie dotykając portfeli Kraken.

Wypłaty z giełd trwały nawet po pierwszym ogłoszeniu ZachXBT, a francuski bank nie złożył natychmiastowego komentarza. „Moja robocza teoria jest taka, że duża instytucja finansowa w Europie Zachodniej została wyeksploatowana i obecnie jest to ukrywane” — skomentował ZachXBT przez swój kanał Telegram. Do tej pory, jak zauważył, wyprano już ponad 30 milionów dolarów, a nie ma oznak zamrożenia aktywów przez organy ścigania UE.

Sprawca ataku stał się wielorybem ETH

Nieznany atakujący przyciągnął w ostatnim tygodniu uwagę eksploratorów on-chain, działając jako dużego skali kupujący ETH. Pierwszym sygnałem był nieznany portfel kupujący 27 553 ETH po średniej cenie 2 286 USD za ETH. Po ostatnim spadku ceny duże wejścia wielorybów nie były niczym niezwykłym, a dopiero później zidentyfikowano, że adres wieloryba jest powiązany z trwającym exploitem.

Zamiast trzymać ETH jako rezerwy, portfel zaczął prać środki poprzez wiele aplikacji i platform.

Mimo wypłat w USDC i USDT stablecoiny nie zostały zamrożone. Ta decyzja kontrastuje z szybką reakcją na niedawny atak na Binance, gdzie Circle i Tether natychmiast zamroziły oznaczone adresy sprawców. Czy którykolwiek z emitentów zastosuje takie samo postępowanie do adresów powiązanych z tą sprawą oraz czy Crédit Mutuel Arkéa odniesie publicznie do naruszenia — pozostaje nierozwiązane.