ZachXBT hevdet at en vesteuropeisk institusjon skjulte et hack på 133 millioner dollar

Mandag var det ingen som visste hvem som hadde mistet pengene. Onsdag morgen hadde offeret fått et navn, kommet med en uttalelse og hadde mange spørsmål å svare på.

Det hele startet 2. november, da ZachXBT la ut en advarsel på sin Telegram-kanal. En ikke navngitt EU-enhet, sa han, hadde mistet mer enn 106 millioner dollar fra flere sentraliserte børskontoer dagen før. Angriperen tok ut alt i form av USDC og USDT, og begynte deretter å bytte til ETH, hoppet mellom øyeblikkelige børser og konverterte noe av det til Monero. Han publiserte 11 adresser. DEGEN NEWS hadde varselet på X i løpet av få timer, og Wu Blockchain videreformidlet det også.

En dag senere var beløpet 133 millioner dollar. ZachXBT hadde funnet ytterligere 27 millioner dollar i uttak fra børser, hvorav noen var foretatt etter hans første innlegg. Hans arbeidshypotese var at en stor finansinstitusjon i Vest-Europa hadde blitt utnyttet, og at dette «for øyeblikket ble dekket over». Det som irriterte ham mest, var tidspunktet. Ifølge ham ble over 30 millioner dollar hvitvasket – penger som EUs politimyndigheter kunne ha fryst dersom hendelsen hadde blitt offentliggjort på riktig måte.

Sent på kvelden 3. november navnga han institusjonen: Crédit Mutuel Arkéa, en fransk andelsbank med om lag 211,5 milliarder euro i eiendeler og mer enn 5,6 millioner kunder. Han sa at angrepet pågikk over flere dager. «Jeg mistenker at det stjålne beløpet er større når man tar hensyn til OTC-aktivitet», la han til.

Banken svarer

Den delen av historien som handlet om at «de fortsatt skjuler det», varte ikke lenge. 4. november opplyste Arkéa til franske medier, blant annet Cryptoast og France Télévisions, at de hadde blitt utsatt for et angrep som muliggjorde svindel. De opplyste at hendelsen nå er under kontroll, at kundene ikke vil få økonomiske konsekvenser, og at enkelte transaksjoner ble midlertidig stanset. De oppga ingen tall for tapet og ga ingen forklaring på hvordan angriperne kom seg inn.

Banken innrømmet altså hendelsen innen et døgn etter at den ble nevnt. Om den informerte EU-myndighetene før pengene ble overført, er et annet spørsmål, og jeg har ikke sett noe som gir svar på det i noen retning.

Kanskje var det ikke kryptovaluta som ble stjålet

Det er her det blir merkelig. Ifølge Cryptoast rapporterte journalisten Grégory Raymond at pengene kan ha forlatt banken som vanlig fiat-valuta og først blitt omgjort til kryptovaluta i etterkant, som et ledd i hvitvaskingen. Kilden hans beskrev et organisert nettverk av «mule»-kontoer. Franske rapporter knyttet svindelen til Fortuneo, Arkéas nettbank. Én kilde la frem to forklaringer: et innbrudd i Fortuneos betalingssystemer, eller et sosialt manipulasjonsopplegg i stil med CEO-svindel. En annen kilde hevder at midlene gikk til børskontoer åpnet med falske identiteter som kom seg forbi KYC-kontrollen. Bitquerys analyse av dataene på blokkjeden tyder på at angriperen kontrollerte påloggingsopplysningene til børsene. Ingenting av dette er bekreftet, og opplysningene henger ikke helt sammen.

Størrelsen er også fortsatt uklar. 133 millioner dollar tilsvarer omtrent 118 millioner euro. Noen franske medier oppgir «mer enn 100 millioner euro». ZachXBT mener det reelle totalbeløpet er høyere.

Hva blokkjeden viser

Bitquery sporet 108,8 millioner dollar i USDC som forlot kontoer hos Kraken, Crypto.com og OKX over en periode på omtrent 21 timer. I løpet av et firetimersvindu ble omtrent 62,98 millioner dollar i stablecoins konvertert til 27 553 ETH. Kl. 13:47 UTC den 2. november befant det seg fortsatt rundt 78,3 millioner dollar i lommebøker knyttet til angriperne, 30,5 millioner dollar hadde allerede forlatt de sporte adressene, og bare 3,74 millioner dollar var USDC som Circle kunne fryse.

Kraken opplyser at de har sperret kontoer knyttet til hendelsen. Crypto.com opplyser at de har blokkert relaterte midler. Begge sier at deres egne plattformer ikke ble kompromittert. OKX skal angivelig være i ferd med å undersøke påstandene.

Begge uttalelsene kan godt være sanne. Likevel er 21 timer lang tid for at over 100 millioner dollar skal forsvinne fra kontoer hos tre store børser som alle har egne compliance-team.

ZachXBT sier også med «høy grad av sikkerhet» at dette ikke er Lazarus. Hvitvaskingsveien er annerledes, med øyeblikkelige bytter, Wagyu for Monero-konverteringen og mye kjedehopping. Tidspunktet gjør det påfallende: det skjer få dager etter Binance-hacket på rundt 6,4 milliarder dollar, som FBI tilskrev den nordkoreanske gruppen TraderTraitor. Dette er mindre og mer rotete, og ingen har et navn på angriperen.

Hva er fortsatt uavklart

Beløpet, metoden og angriperens identitet er alle ubekreftet. Arkéa sier at normal drift vil gjenopptas så snart de endelige sikkerhetskontrollene er gjennomført. Om noen av de gjenværende midlene kan hentes tilbake, avhenger av hvor mye som fortsatt ligger i disse lommebøkene, og det beløpet endret seg raskt.