ZachXBT связал кражу криптовалюты на $133 млн с французским банком Crédit Mutuel Arkéa с активами $235 млрд
Ключевые выводы
- •Ончейн-исследователь ZachXBT установил, что французская банковская группа Crédit Mutuel Arkéa с совокупными активами более $235 млрд стоит за подозрительным оттоком криптовалюты примерно на $133 млн.
- •Около $106 млн было выведено в USDC и USDT со счетов централизованных бирж 2 ноября, за чем последовала вторая волна примерно на $27 млн, в основном через кошельки Kraken.
- •Атакующий обменял стейблкоины на ETH, конвертировал часть средств в Monero через Wagyu Wallet и приобрел 27 553 ETH по средней цене $2 286 за монету.
- •ZachXBT заявил, что схема отмывания не соответствует типичным методам группы Lazarus, которая обычно полагается на ончейн-операции и миксеры Ethereum, а не на обмены через централизованные биржи.
- •Kraken ограничил отмеченные кошельки, но средства не заморожены, а Circle и Tether не заморозили адреса стейблкоинов — в отличие от их быстрой реакции на недавний взлом Binance.
Ончейн-исследователь ZachXBT, известный отслеживанием взломов и украденных средств в блокчейнах, установил, что французская банковская группа Crédit Mutuel Arkéa является европейской организацией, стоящей за подозрительным оттоком криптовалюты примерно на $133 млн, который он отслеживал в течение последних нескольких дней. Полученные данные указывают на то, что крупное европейское учреждение подверглось компрометации, а французский банк не дал оперативных комментариев.
По имеющимся данным, потери связаны с криптокошельками Crédit Mutuel Arkéa — регионального бренда более крупной группы Crédit Mutuel. Банковская организация располагает совокупными активами более $235 млрд, при этом криптовалюта составляет лишь небольшую часть ее портфеля. Атака на кошельки длилась несколько дней и включала ончейн-обмены и другие операции, а ZachXBT продолжает поиск дополнительных потерь и попыток отмывания средств.
Деятельность Crédit Mutuel Arkéa выходит за рамки банковских и страховых услуг. Группа предоставляет банковские сервисы и обработку платежей под собственной маркой (white-label) для финтех-компаний и необанков, некоторые из которых работают с криптовалютой — включая Stripe. Ее дочерняя компания Arkéa Banking Services (ABS) предлагает переводы SEPA, ввод фиатных средств и счета для финтех-фирм, соответствующих требованиям MiCAR, то есть компаний, работающих в рамках регламента ЕС о рынках криптоактивов. Банк и его дочерние компании не раскрывали свои криптоактивы или публичные кошельки, поэтому подозрительные транзакции удалось обнаружить только путем мониторинга некоторых из наиболее часто используемых централизованных бирж.
Средства перемещались через централизованные биржи
В результате атаки средства были выведены с ряда счетов на централизованных биржах. 2 ноября ZachXBT выявил потери на $106 млн на нескольких счетах централизованных бирж; средства выводились в USDC и USDT — стейблкоинах, эмитируемых соответственно Circle и Tether.
Затем злоумышленник обменял USDC на ETH через мгновенные обменники, включая WellWallet и Kyrrex и другие. Часть средств была конвертирована в Monero (XMR) — приватный актив, который по своей архитектуре скрывает детали транзакций, — через Wagyu Wallet и переведена мостами в другие сети.
ZachXBT отметил, что такая схема отмывания не соответствует привычным методам работы группы Lazarus — хакерской группировки, которую связывают с Северной Кореей. Северокорейские хакеры обычно быстро перемещают украденные средства с помощью ончейн-операций, чаще всего используя Ethereum и его миксеры, что делает обмен через централизованные биржи нетипичной схемой отмывания.
Выводы средств были сосредоточены на счетах Kraken
Судя по кошелькам злоумышленника, агрегированным ZachXBT, часть средств была выведена с горячего кошелька Kraken, а затем разделена на меньшие суммы и переведена на новые адреса. Через день после начала атаки Kraken ограничил кошельки, связанные с взломом, однако средства не были заморожены — ограничение останавливает активность через отмеченные аккаунты, но сами токены остаются нетронутыми.
Первая волна атак задействовала 11 новых кошельков, которые преимущественно выводили средства с горячего кошелька Kraken. Ряд транзакций также исходил из кошельков Crypto.com и OKX, что указывает на компрометацию нескольких аккаунтов. Вторая волна выводов переместила еще $27 млн, и в основном снова затронула кошельки Kraken.
Выводы с бирж продолжались даже после первоначального объявления ZachXBT, при этом французский банк не дал оперативных комментариев. «Моя рабочая гипотеза такова: крупное финансовое учреждение в Западной Европе подверглось взлому, и этот факт в настоящее время замалчивается», — прокомментировал ZachXBT в своем Telegram-канале. По его словам, на данный момент отмыто уже более $30 млн, и со стороны правоохранительных органов ЕС не наблюдается признаков заморозки активов.
Злоумышленник стал ETH-китом
Неизвестный атакующий за прошедшую неделю также привлек внимание ончейн-обозревателей, действуя как крупный покупатель ETH. Первым признаком стала покупка неизвестным кошельком 27 553 ETH по средней цене $2 286 за монету. На фоне недавнего снижения цены крупномасштабные закупки китов не были чем-то необычным, и лишь позже адрес кита был связан с продолжающимся взломом.
Вместо того чтобы удерживать ETH в качестве резерва, кошелек начал отмывать средства через множество приложений и платформ.
Несмотря на выводы в USDC и USDT, стейблкоины не были заморожены. Это решение контрастирует с быстрой реакцией на недавний взлом Binance, когда Circle и Tether незамедлительно заморозили отмеченные адреса злоумышленника. Заморозят ли какие-либо из эмитентов адреса, связанные с этим случаем, и прокомментирует ли Crédit Mutuel Arkéа инцидент публично, остается неизвестным.
