Блокчейн-следователь ZachXBT назвал французскую банковскую группу Crédit Mutuel Arkéa предполагаемой жертвой кражи криптовалюты на сумму более $133 миллионов, расширив расследование подозрительных выводов средств с нескольких аккаунтов на централизованных биржах.

В сообщении от 4 ноября была названа эта организация после того, как предыдущие предупреждения упоминали лишь неназванную европейскую структуру. Crédit Mutuel Arkéa, одна из крупнейших кооперативных банковских групп Франции, по словам ZachXBT, управляет активами на сумму около $235 миллиардов, и он заявил, что предполагаемая атака продолжалась несколько дней, с возможными дополнительными потерями, связанными с внебиржевыми операциями — сделками, заключаемыми в частном порядке вне публичных бирж.

Причастность банка не была независимо подтверждена. На момент публикации публичного ответа на это утверждение выявлено не было, а в представленных материалах не устанавливается, кому принадлежали затронутые активы — самой организации, ее клиентам или третьей стороне.

Дополнительные выводы повышают оценку потерь выше $133 миллионов

В первом предупреждении от 2 ноября ZachXBT сообщил о более чем $106 миллионах предполагаемых потерь с биржевых аккаунтов, подвергшихся атаке накануне. Средства были выведены в USDC и USDT — двух крупнейших стейблкоинах, привязанных к доллару, — а затем проведены через несколько сервисов и блокчейнов.

Впоследствии он выявил еще более $27 миллионов выводов с бирж, что увеличило его оценку выше $133 миллионов. Часть выводов произошла после его первого публичного предупреждения, что указывает на продолжение предполагаемого оттока средств после того, как инцидент уже привлек внимание.

Следователь опубликовал 11 подозрительных адресов в первоначальном предупреждении и еще четыре адреса в последующем обновлении. Он не назвал биржи, на которых находились затронутые аккаунты, и не объяснил, как злоумышленник получил к ним доступ.

Предполагаемое отмывание включало обмен USDC на эфир, перевод средств через мгновенные обменники и конвертацию активов в Monero (XMR) — криптовалюту с ориентацией на приватность, протокол которой скрывает детали транзакций. ZachXBT назвал WellWallet и Kyrrex среди сервисов, принимавших переводы, и определил Wagyu как канал конвертации в XMR. Эти наблюдения описывают движение средств; они не доказывают, что сервисы сознательно участвовали в краже.

«Подозреваю, что украденная сумма больше, если учитывать активность на внебиржевом рынке», — написал ZachXBT в обновлении, где фигурирует Arkéa. Отдельную оценку для этих операций он не представил.

ZachXBT критикует раскрытие информации, пока злоумышленник не установлен

ZachXBT также утверждал, что несвоевременное раскрытие информации позволило отмыть более $30 миллионов, которые европейские правоохранительные органы в противном случае могли бы заморозить. Он описал возможное сокрытие как свою рабочую гипотезу, а не установленный факт. Ни преднамеренное сокрытие, ни сумма, которую власти могли бы перехватить, не были независимо проверены. Цифра в $30 миллионов касается средств, предположительно перемещенных в ходе инцидента, а не отдельной потери, добавляемой к оценке в $133 миллиона. Заморозка украденной криптовалюты, как правило, требует, чтобы биржи, эмитенты стейблкоинов или сервисы, удерживающие активы, действовали до того, как средства выйдут из-под их контроля.

Личность злоумышленника остается неустановленной. ZachXBT заявил, что с высокой степенью уверенности считает, что Lazarus Group — связанный с Северной Кореей хакерский коллектив, который власти США обвиняют в некоторых из крупнейших краж криптовалюты в отрасли, — не причастна к этому случаю, сославшись на ряд признаков отмывания. Он не раскрыл публично эти признаки, а его оценка не является официальной атрибуцией правоохранительных органов.

Эти разоблачения последовали за приостановкой сервисов Mercado Bitcoin после нарушения безопасности и атрибуцией ФБР кражи в Binance, приписанной северокорейской операции TraderTraitor, что добавило предполагаемую кражу у Arkéa к недавней череде инцидентов безопасности в секторе цифровых активов. Публикации ZachXBT не содержат доказательств, связывающих предполагаемый инцидент с Arkéa с любым из этих случаев.

Последнее обновление не устанавливает, как были скомпрометированы биржевые аккаунты, был ли ограничен несанкционированный доступ и сколько криптовалюты было заморожено или возвращено. Отреагирует ли Crédit Mutuel Arkéa публично на это утверждение, будут ли раскрыты дальнейшие выводы или адреса, а также предпримут ли европейские власти или названные сервисы шаги по заморозке средств, связанных с инцидентом, — ключевые события, за которыми стоит следить.