Śledczy blockchain ZachXBT poinformował we wtorek, że nieujawniona jeszcze strata na kryptowalutach w nieznanej instytucji z Europy Zachodniej przekroczyła 133 miliony dolarów, wobec 106 milionów dolarów wskazanych przez niego dzień wcześniej. ZachXBT, którego wcześniejsze publikacje o włamaniach na kryptowaluty już skłoniły zainteresowane podmioty do ujawnień, twierdzi obecnie, że dotknięty podmiot z Unii Europejskiej ukrywa incydent zamiast zgłosić go władzom UE.

Czy unijny bank ukrywa włamanie do kryptowalut?

Na swoim kanale Telegram wcześnie we wtorek ZachXBT napisał: „Moja robocza hipoteza jest taka, że duża instytucja finansowa w Europie Zachodniej została wyeksploitowana i obecnie trwa ukrywanie incydentu”.

Według śledczego szacowana strata wynosi obecnie 133 miliony dolarów po tym, jak przez scentralizowane giełdy przepłynęły kolejne 27 milionów dolarów. Wypłaty trwały nawet po jego pierwszym ujawnieniu w poniedziałek.

Mimo wielokrotnych sygnalizacji incydentu poszkodowany nie został nazwany, a twierdzenie o ukrywaniu sprawy nie zostało niezależnie zweryfikowane.

ZachXBT nie podejrzewa zaangażowania północnokoreańskiej grupy Lazarus, jednostki odpowiedzialnej za wiele największych włamań w branży kryptowalut, wskazując, że wzorzec prania pieniędzy nie przypomina tras zwykle wykorzystywanych przez tę grupę. Zaznaczył również, że ponad 30 milionów dolarów z podejrzewanych skradzionych środków znalazłoby się w unijnej sieci zamrożeń, gdyby incydent został zgłoszony.

Trzy giełdy opróżnione w ciągu jednego dnia

Firma analityczna Bitquery, która opublikowała własne śledztwo w sprawie kradzieży, prześledziła na chainie 108,8 miliona dolarów powiązanych z incydentem. Transfery rozpoczęły się w niedzielę 1 listopada, opróżniając konta na Kraken, Crypto.com i OKX w ciągu około 21 godzin.

Większość środków przemieszczała się jako USDC do 15 portfeli, z których 11 otrzymało wcześniej płatności od tych samych giełd. Ten szczegół skłonił Bitquery do wniosku, że atakujący miał dostęp do kluczy poszkodowanego i danych logowania na giełdy. Robocza hipoteza zakłada, że atakujący przejął urządzenia właściciela lub przynajmniej urządzenie osoby z zespołu poszkodowanego.

Osiem z naruszonych portfeli to inteligentne konta Trust Wallet. Bitquery podkreśliła, że incydent nie wskazuje na wadę aplikacji Trust Wallet.

Po kradzieży środki szybko przeniesiono z aktywów zamykalnych do niezamykalnych. Około 62,98 miliona dolarów w stablecoinach wymieniono na 27 553 ETH przez UniswapX w ciągu około czterech godzin, a następnie przelano do Monero (XMR), coina privacy zaprojektowanego do ukrywania szczegółów transakcji, oraz przez mostki.

Według Bitquery około 78,3 miliona dolarów wciąż znajdowało się na Ethereum w portfelach powiązanych z atakującym na dzień 2 listopada o 13:47 UTC, a portfel atakującego nadal przechowuje 3,74 miliona dolarów w USDC — środki, które Circle nadal może zamrozić.

Dlaczego poszkodowany bank miałby to zmienić

Hipoteza ZachXBT wskazuje na kategorię firm, które dopiero niedawno weszły na rynek. Europejskie banki w 2026 roku wchodziły w kryptowaluty w ramach unijnych przepisów o rynkach kryptoaktywów (MiCA), a banki stanowią obecnie blisko 23% dostawców usług kryptoaktywów na unijnym rejestrze MiCA na wrzesień. Deutsche Bank, największy niemiecki bank, dążył do uzyskania zgody MiCA na powiernictwo aktywów cyfrowych. Autoryzacja MiCA umożliwia tę zmianę: licencjonowani dostawcy usług kryptoaktywów mogą oferować usługi takie jak powiernictwo i wymiana, dzięki czemu banki przeszły od roli obserwatorów do bezpośrednich zarządców cyfrowych aktywów klientów.

Wcześniejszy raport Cryptopolitan o utracie 106 milionów dolarów wskazywał ten sam wzorzec co w włamaniach na Binance i Bitget: atakujący wymieniają stablecoiny na Ether i coiny privacy, zanim Circle lub Tether zdążą zareagować.

Kwestia ujawnienia

Zarzut ukrywania sprawy ma największe znaczenie, jeśli poszkodowanym jest podmiot finansowy. Zgodnie z francuskim regulatorem rynku, AMF, na mocy unijnego rozporządzenia w sprawie operacyjnej odporności cyfrowej (DORA), obowiązującego od 17 stycznia 2025 roku, firmy finansowe, w tym dostawcy usług kryptoaktywów, muszą sygnalizować i raportować poważne incydenty związane z ICT nadzorcom w formie pierwszego alertu, aktualizacji uzupełniającej i raportu końcowego.

Punkt ZachXBT jest taki, że zwłoka miała bezpośredni koszt: bez ujawnienia, jak twierdzi, około 30 milionów dolarów wymknęło się spod zasięgu, które organy mogły zamrozić. Czy w sprawę zaangażowany jest podmiot objęty DORA, pozostaje niepotwierdzone, a żaden regulator nie wskazał poszkodowanego. Na razie historia opiera się na krótkiej liście otwartych kwestii: tożsamości instytucji, tym czy jakikolwiek nadzorca potwierdzi otrzymanie raportu o incydencie, oraz tym, czy pozostałe zamrażalne USDC zostaną zamrożone, czy zamienione na aktywa, których żaden emitent nie może dotknąć.