Блокчейн-детектив ZachXBT назвал французскую банковскую группу Crédit Mutuel Arkéa предполагаемой жертвой кражи криптовалюты на сумму более $133 млн по результатам расследования серии необычных выводов средств с централизованных криптобирж. Этот случай показывает, как ончейн-криминалистика может выявлять потенциальные инциденты до того, как пострадавшая организация публично их признает.

Crédit Mutuel Arkéa не подтверждал публично какой-либо связи с этими транзакциями и не признавал финансовых потерь. В результате предполагаемый взлом, сумма и связь банка с этими операциями остаются неподтвержденными.

Хронология расследования

4 ноября ZachXBT, по имеющимся данным, назвал Crédit Mutuel Arkéa организацией, потенциально затронутой подозрительными транзакциями. Банковская группа располагает активами на сумму около $235 млрд, что сделало бы предполагаемую кражу заметным событием для традиционного финансового сектора.

Расследование началось 2 ноября, когда ZachXBT отметил подозрительные выводы криптовалюты на сумму более $106 млн. Транзакции, как сообщается, исходили с биржевых счетов, связанных с неустановленной структурой Евросоюза, как сообщало CoinDesk. Выводы такого масштаба относятся к той активности, которую ончейн-детективы обычно отслеживают, поскольку необычно быстрое движение средств между биржевыми счетами может указывать на несанкционированный доступ или компрометацию счетов.

Днем позже, 3 ноября, детектив обнаружил еще $27 млн выводов, связанных с тем же предполагаемым злоумышленником, что подняло оценочную сумму предполагаемой кражи выше $133 млн.

ZachXBT также предположил, что крупное западноевропейское финансовое учреждение могло не раскрыть инцидент. Однако независимых доказательств того, что банк намеренно скрыл нарушение безопасности, нет.

Украденные средства прошли через Ethereum и Monero

Анализ блокчейн-транзакций показывает, что предполагаемый злоумышленник сначала выводил средства в стейблкоинах USDC и USDT — двух наиболее широко используемых токенах, привязанных к доллару, чье перемещение по публичным блокчейнам можно отслеживать транзакция за транзакцией. Затем активы направлялись через Ethereum, мгновенные криптообменники и межсетевые мосты — комбинация маршрутов, способная раздробить аудиторский след между несколькими сетями и сервисами.

Исследователи также выявили транзакции с участием Monero — криптовалюты, ориентированной на приватность и скрывающей детали транзакций. Такие переводы могут значительно затруднить властям отслеживание активов и возврат украденных средств.

ZachXBT заявил, что запоздалое раскрытие информации позволило более $30 млн выйти за пределы возможных мер по возврату, и предположил, что европейские правоохранительные органы могли бы заморозить часть активов при более раннем уведомлении. Он добавил, что характер транзакций, судя по всему, не совпадает с типичными схемами северокорейской группировки Lazarus Group — связанного с государством хакерского объединения, которое власти США и их союзники винят в некоторых из крупнейших криптовалютных краж в истории. Личность предполагаемого злоумышленника остается неизвестной.

Подтверждение банка остается ключевым

Эти обвинения поднимают вопросы о хранении криптовалюты, институциональной безопасности и стандартах сообщения об инцидентах в финансовой отрасли Европы — сфере, которая для банков ЕС теперь регулируется Законом о цифровой операционной устойчивости (Digital Operational Resilience Act), действующим с января 2025 года и обязывающим финансовые организации сообщать регуляторам о крупных ИКТ-инцидентах. Тем не менее одни лишь подозрительные блокчейн-транзакции не могут доказать, что конкретный банк понес подтвержденный финансовый ущерб.

Власти публично не подтвердили предполагаемую кражу и не установили, как предполагаемый злоумышленник получил доступ к биржевым счетам. Дальнейшее подтверждение от Crédit Mutuel Arkéa, задействованных криптобирж или регуляторов будет необходимо для установления реального масштаба инцидента. Пока же ключевыми сигналами для наблюдения являются любой публичный ответ банка, раскрытия информации биржами, чьи счета были использованы, возможные действия правоохранительных органов в отношении средств, которые остаются отслеживаемыми, а также выявление новых выводов, связанных с тем же предполагаемым злоумышленником.