Śledczy blokchainowy ZachXBT zidentyfikował francuską grupę bankową Crédit Mutuel Arkéa jako domniemaną ofiarę kradzieży kryptowalut przekraczającej 133 miliony dolarów, rozszerzając śledztwo w sprawie podejrzanych wypłat z wielu kont na giełdach scentralizowanych.

Ujawnienie z 4 listopada podało nazwę instytucji po tym, jak wcześniejsze alerty odnosiły się jedynie do nieokreślonego europejskiego celu. Crédit Mutuel Arkéa, jedna z największych francuskich grup banków spółdzielczych, została według ZachXBT opisana jako posiadająca aktywa o wartości około 235 miliardów dolarów, a śledczy stwierdził, że podejrzewany atak trwał przez kilka dni, a potencjalne dodatkowe straty mogą dotyczyć transakcji pozagiełdowych (OTC) — prywatnie negocjowanych transakcji zawieranych poza publicznymi giełdami.

Udział banku nie został niezależnie potwierdzony. W chwili publikacji nie zidentyfikowano żadnej publicznej odpowiedzi odnoszącej się do tego zarzutu, a ujawnione informacje nie przesądzają, czy dotknięte aktywa należały do instytucji, jej klientów czy innej strony.

Dodatkowe wypłaty zwiększają szacowane straty powyżej 133 milionów dolarów

Początkowy alert ZachXBT z 2 listopada wskazywał ponad 106 milionów dolarów podejrzanych strat z kont giełdowych poszkodowanych dzień wcześniej. Środki zostały wypłacone w USDC i USDT — dwóch największych stablecoinach powiązanych z dolarem — zanim przemieszczono je przez liczne serwisy i blockchainy.

Następnie zidentyfikował jeszcze ponad 27 milionów dolarów wypłat z giełd, co podniosło jego szacunek powyżej 133 milionów dolarów. Część wypłat nastąpiła po jego pierwotnym publicznym ostrzeżeniu, co wskazuje, że podejrzewane odpływy kontynuowano, gdy incydent przyciągnął już uwagę opinii publicznej.

Śledczy opublikował 11 podejrzewanych adresów kradzieży w pierwotnym alertach i cztery dodatkowe adresy w kolejnym komunikacie. Nie podał nazw giełd, na których znajdowały się dotknięte konta, ani nie wyjaśnił, w jaki sposób sprawca uzyskał do nich dostęp.

Podejrzane pranie pieniędzy obejmowało wymianę USDC na ether, przekazywanie środków przez błyskawiczne giełdy oraz konwersję aktywów na Monero (XMR) — kryptowalutę nastawioną na prywatność, której protokół ukrywa szczegóły transakcji. ZachXBT wymienił WellWallet i Kyrrex wśród serwisów przyjmujących przelewy oraz wskazał Wagyu jako trasę konwersji na XMR. Te obserwacje opisują przepływ środków; nie dowodzą, że wymienione serwisy świadomie uczestniczyły w kradzieży.

"Podejrzewam, że kwota skradzionych środków jest większa, jeśli uwzględnić aktywność OTC" — napisał ZachXBT w aktualizacji wymieniającej Arkéa. Nie przedstawił odrębnego szacunku dla tych transakcji.

ZachXBT krytykuje ujawnienie informacji, gdy sprawca pozostaje niezidentyfikowany

ZachXBT zarzucił również, że niepełne ujawnienie informacji pozwoliło wyprać ponad 30 milionów dolarów, które europejskie organy ścigania mogłyby w przeciwnym razie zamrozić. Opisał możliwe ukrywanie incydentu jako swoją roboczą hipotezę, a nie potwierdzone ustalenie. Ani celowe ukrywanie informacji, ani kwota, którą władze mogłyby przechwycić, nie zostały niezależnie zweryfikowane. Kwota 30 milionów dolarów dotyczy środków, które podobno przemieszczono podczas incydentu, a nie odrębnej straty dodawanej do szacunku 133 milionów dolarów. Zamrożenie skradzionych kryptowalut wymaga co do zasady działania giełd, emitentów stablecoinów lub serwisów przechowujących aktywa, zanim środki opuszczą ich kontrolę.

Sprawca pozostaje niezidentyfikowany. ZachXBT oświadczył, że jest wysoko pewien, iż grupa Lazarus — powiązana z Koreą Północną zbiorowość hakerska, którą władze USA obwiniają o niektóre z największych kradzieży kryptowalut w sektorze — nie ponosi odpowiedzialności, powołując się na liczne wskaźniki prania pieniędzy. Nie opisał publicznie tych wskaźników, a jego ocena nie stanowi formalnej atribucji ze strony organów ścigania.

Te ujawnienia nastąpiły po zawieszeniu usług przez Mercado Bitcoin w związku z naruszeniem bezpieczeństwa oraz po przypisaniu przez FBI kradzieży na Binance północnokoreańskiej operacji TraderTraitor, co wpisuje domniemaną kradzież od Arkéa w recentną falę incydentów bezpieczeństwa w sektorze aktywów cyfrowych. Posty ZachXBT nie dostarczają dowodów łączących podejrzewany incydent z Arkéa z żadnym z tych przypadków.

Najnowsza aktualizacja nie wyjaśnia, w jaki sposób skompromitowano konta giełdowe, czy nieautoryzowany dostęp został powstrzymany ani ile kryptowalut zamrożono lub odzyskano. Czy Crédit Mutuel Arkéa publicznie odniesie się do zarzutu, czy ujawnione zostaną kolejne wypłaty lub adresy oraz czy europejskie władze lub wymienione serwisy podejmą kroki w celu zamrożenia środków związanych z incydentem — to kluczowe wydarzenia, których warto się spodziewać.