ZachXBT hävdade att en västeuropeisk institution dolde en hackattack på 133 miljoner dollar

På måndagen visste ingen vem som hade förlorat pengarna. På onsdagsmorgonen hade offret ett namn, ett uttalande och en hel del frågor att besvara.

Det hela började den 2 november, när ZachXBT publicerade en varning på sin Telegram-kanal. En namnlös EU-aktör, sa han, hade dagen innan förlorat mer än 106 miljoner dollar från flera konton på centraliserade börser. Angriparen tog ut allt i form av USDC och USDT, började sedan byta till ETH, hoppade mellan olika snabbväxlingsplattformar och konverterade en del av det till Monero. Han publicerade 11 adresser. DEGEN NEWS hade larmet på X inom några timmar, och Wu Blockchain vidarebefordrade det också.

En dag senare uppgick summan till 133 miljoner dollar. ZachXBT hade upptäckt ytterligare 27 miljoner dollar i uttag från börser, varav en del hade gjorts efter hans första inlägg. Hans arbetshypotes var att en stor finansiell institution i Västeuropa hade utnyttjats och att detta ”för närvarande mörkläggs”. Det som irriterade honom mest var tidpunkten. Enligt hans redogörelse tvättades mer än 30 miljoner dollar som EU:s brottsbekämpande myndigheter kunde ha fryst om händelsen hade offentliggjorts på rätt sätt.

Sent på kvällen den 3 november namngav han institutet: Crédit Mutuel Arkéa, en fransk kooperativbank med tillgångar på cirka 211,5 miljarder euro och mer än 5,6 miljoner kunder. Han sa att attacken pågick under flera dagar. ”Jag misstänker att det stulna beloppet är större om man räknar in OTC-aktiviteten”, tillade han.

Bankens svar

Den del av historien som handlade om att man ”fortfarande döljer det” varade inte länge. Den 4 november meddelade Arkéa franska medier, däribland Cryptoast och France Télévisions, att man hade utsatts för en attack som möjliggjort bedrägliga transaktioner. Man uppgav att incidenten nu är under kontroll, att kunderna inte drabbas av några ekonomiska konsekvenser och att vissa transaktioner tillfälligt har stängts av. Man angav inga siffror på förlusterna och gav ingen förklaring till hur angriparna tog sig in.

Banken erkände alltså incidenten inom ett dygn efter att ha pekats ut. Om man informerade EU-myndigheterna innan pengarna fördes ut är en annan fråga, och jag har inte sett något som ger svar på den frågan i något av fallen.

Kanske var det inte kryptovaluta som stals

Det är här det blir märkligt. Enligt Cryptoast rapporterade journalisten Grégory Raymond att pengarna kan ha lämnat banken som vanlig fiatvaluta och först omvandlats till kryptovaluta i ett senare skede, som ett led i penningtvätten. Hans källa beskrev ett organiserat nätverk av så kallade ”mule”-konton. Franska rapporter kopplade bedrägeriet till Fortuneo, Arkéas nätbank. En källa lade fram två förklaringar: att Fortuneos betalningssystem hade komprometterats, eller ett social engineering-angrepp i stil med VD-bedrägeri. En annan källa uppger att pengarna gick till börskonton som öppnats med falska identiteter som klarat KYC-kontrollen. Bitquerys analys av on-chain-data pekar på att angriparen kontrollerade inloggningarna till börserna. Inget av detta är bekräftat, och uppgifterna stämmer inte helt överens.

Beloppets storlek är också fortfarande oklart. 133 miljoner dollar motsvarar cirka 118 miljoner euro. Vissa franska medier uppger ”mer än 100 miljoner euro”. ZachXBT tror att det verkliga beloppet är högre.

Vad kedjan visar

Bitquery spårade 108,8 miljoner dollar i USDC som lämnade konton hos Kraken, Crypto.com och OKX under cirka 21 timmar. Under ett fyra timmars tidsfönster omvandlades ungefär 62,98 miljoner dollar i stablecoins till 27 553 ETH. Kl. 13:47 UTC den 2 november fanns fortfarande cirka 78,3 miljoner dollar kvar i plånböcker kopplade till angriparna, 30,5 miljoner dollar hade redan lämnat de spårade adresserna och endast 3,74 miljoner dollar var USDC som Circle kunde frysa.

Kraken uppger att man har spärrat konton kopplade till händelsen. Crypto.com uppger att man har blockerat relaterade medel. Båda säger att deras egna plattformar inte har äventyrats. OKX uppges granska anklagelserna.

Båda uttalandena kan mycket väl vara sanna. Ändå är 21 timmar en lång tid för över 100 miljoner dollar att försvinna från konton hos tre stora aktörer som alla har team som arbetar med regelefterlevnad.

ZachXBT säger också med ”hög grad av säkerhet” att detta inte är Lazarus. Penningtvättsvägen är annorlunda, med omedelbara växlingar, Wagyu för Monero-konverteringen och en hel del kedjehoppning. Tidpunkten gör det iögonfallande: det inträffade några dagar efter Binance-hacket på cirka 6,4 miljarder dollar, vilket FBI tillskrev den nordkoreanska gruppen TraderTraitor. Det här fallet är mindre och mer rörigt, och ingen har något namn på angriparen.

Vad som fortfarande är oklart

Beloppet, metoden och angriparens identitet är alla obekräftade. Arkéa säger att den normala driften kommer att återupptas så snart de slutliga säkerhetskontrollerna är genomförda. Huruvida några av de återstående medlen kan återvinnas beror på hur mycket som fortfarande finns kvar i dessa plånböcker, och den summan förändrades snabbt.