ZachXBT hævdede, at en vesteuropæisk institution skjulte et hackerangreb på 133 mio. dollar

Mandag vidste ingen, hvem der havde mistet pengene. Onsdag morgen havde offeret fået et navn, en erklæring og en masse spørgsmål, der skulle besvares.

Det hele startede den 2. november, da ZachXBT udsendte en advarsel på sin Telegram-kanal. En unavngiven EU-enhed, sagde han, havde dagen før mistet mere end 106 mio. dollar fra flere centraliserede børskonti. Gerningsmanden hævede det hele som USDC og USDT og begyndte derefter at veksle til ETH, hvor han hoppede mellem forskellige øjeblikkelige børser og konverterede en del af det til Monero. Han offentliggjorde 11 adresser. DEGEN NEWS havde advarslen på X inden for få timer, og Wu Blockchain videreformidlede den også.

En dag senere var beløbet steget til 133 mio. dollar. ZachXBT havde fundet yderligere 27 mio. dollar i udbetalinger fra børser, hvoraf nogle var foretaget efter hans første indlæg. Hans arbejdshypotese var, at en stor finansiel institution i Vesteuropa var blevet udnyttet, og at sagen »i øjeblikket blev mørklagt«. Det, der irriterede ham mest, var timingen. Ifølge ham blev der hvidvasket mere end 30 mio. dollar, som EU’s retshåndhævende myndigheder kunne have indefrosset, hvis hændelsen var blevet offentliggjort korrekt.

Sent den 3. november afslørede han institutionens navn: Crédit Mutuel Arkéa, en fransk andelskasse med aktiver på ca. 211,5 mia. euro og mere end 5,6 mio. kunder. Han sagde, at angrebet strakte sig over flere dage. »Jeg formoder, at det stjålne beløb er større, når man tager OTC-aktiviteter med i betragtning,« tilføjede han.

Bankens svar

Den del af historien, hvor banken »stadig skjulte det«, varede ikke længe. Den 4. november meddelte Arkéa franske medier, herunder Cryptoast og France Télévisions, at den havde været udsat for et angreb, der muliggjorde svigagtige transaktioner. Banken oplyste, at hændelsen nu er under kontrol, at kunderne ikke vil lide økonomiske konsekvenser, og at visse transaktioner midlertidigt var blevet suspenderet. Den gav ingen oplysninger om tabets størrelse og ingen forklaring på, hvordan angriberne fik adgang.

Banken indrømmede altså hændelsen inden for et døgn efter at være blevet nævnt ved navn. Om den underrettede EU-myndighederne, før pengene blev overført, er et andet spørgsmål, og jeg har ikke set noget, der besvarer det i den ene eller den anden retning.

Måske var det slet ikke kryptovaluta, der blev stjålet

Det er her, det bliver mærkeligt. Ifølge Cryptoast rapporterede journalisten Grégory Raymond, at pengene muligvis forlod banken som almindelige fiat-penge og først blev omdannet til kryptovaluta bagefter som et led i hvidvaskningen. Hans kilde beskrev et organiseret netværk af mellemkonti. Franske rapporter knyttede svindlen til Fortuneo, Arkéas onlinebank. En kilde fremsatte to forklaringer: et indbrud i Fortuneos betalingssystemer eller et social engineering-angreb i stil med CEO-svindel. En anden kilde hævder, at midlerne gik til børskonti, der var åbnet med falske identiteter, som slap igennem KYC-kontrollen. Bitquerys analyse af on-chain-data peger i retning af, at angriberen kontrollerede loginoplysningerne til børserne. Intet af dette er bekræftet, og beretningerne passer ikke helt sammen.

Omfanget er også stadig uklart. 133 mio. dollar svarer til ca. 118 mio. euro. Nogle franske medier skriver om »mere end 100 mio. euro«. ZachXBT mener, at det reelle beløb er højere.

Hvad blockchainen viser

Bitquery sporede 108,8 mio. USD i USDC, der forlod konti hos Kraken, Crypto.com og OKX over en periode på ca. 21 timer. I et tidsrum på fire timer blev ca. 62,98 mio. USD i stablecoins konverteret til 27.553 ETH. Kl. 13:47 UTC den 2. november befandt der sig stadig ca. 78,3 mio. $ i tegnebøger knyttet til angriberne, 30,5 mio. $ havde allerede forladt de sporede adresser, og kun 3,74 mio. $ var USDC, som Circle kunne indefryse.

Kraken oplyser, at de har spærret konti, der er knyttet til hændelsen. Crypto.com oplyser, at de har blokeret de pågældende midler. Begge siger, at deres egne platforme ikke blev kompromitteret. OKX skulle efter sigende være i gang med at undersøge beskyldningerne.

Begge udsagn kan meget vel være sande. Alligevel er 21 timer lang tid for, at over 100 mio. dollar kan forsvinde fra konti hos tre store børser, der alle har compliance-teams.

ZachXBT siger også med »stor sikkerhed«, at dette ikke er Lazarus. Hvidvaskningsruten er anderledes, med øjeblikkelige udvekslinger, Wagyu til Monero-konvertering og en masse kædehopping. Tidspunktet gør det iøjnefaldende: Det sker få dage efter Binance-hacket på ca. 6,4 mia. dollar, som FBI tilskrev den nordkoreanske gruppe TraderTraitor. Dette tilfælde er mindre og mere rodet, og ingen har et navn på angriberen.

Hvad der stadig er uafklaret

Beløbet, metoden og angriberens identitet er alle ubekræftede. Arkéa oplyser, at den normale drift vil blive genoptaget, så snart de endelige sikkerhedskontroller er gennemført. Om nogle af de resterende midler kan inddrives, afhænger af, hvor meget der stadig befinder sig i disse tegnebøger, og det beløb ændrede sig hurtigt.