ZachXBT hat Crédit Mutuel Arkéa als das europäische Unternehmen identifiziert, das 133 Millionen US-Dollar verloren hat. In den vergangenen Tagen verfolgte der On-Chain-Analyst umfangreiche verdächtige Abflüsse aus den Wallets eines Unternehmens, was darauf hindeutet, dass eine große europäische Institution kompromittiert wurde.
Der On-Chain-Analyst ZachXBT verfolgte in den vergangenen Tagen verdächtige Transaktionen im Wert von 133 Millionen US-Dollar und führte die Verluste auf ein europäisches Unternehmen zurück.
Die Verluste sollen aus den Krypto-Wallets der französischen Bankengruppe Crédit Mutuel Arkéa stammen. Das Bankunternehmen verfügt über eine Bilanzsumme von mehr als 235 Milliarden US-Dollar, wobei Kryptowährungen nur einen kleinen Teil seines Portfolios ausmachen.
Der Angriff auf die Wallets erstreckte sich über mehrere Tage und umfasste On-Chain-Swaps und -Transaktionen. ZachXBT sucht weiterhin nach weiteren Verlusten und Versuchen, die Gelder zu waschen.
Crédit Mutuel Arkéa ist eine regionale Marke der Crédit-Mutuel-Gruppe. Neben Bank- und Versicherungsdienstleistungen bietet die Gruppe Fintechs und Neobanken auch Bankdienstleistungen und White-Label-Zahlungsabwicklung an. Einige ihrer Kunden setzen auch auf Kryptowährungen, darunter Stripe.
Die Tochtergesellschaft Arkéa Banking Services (ABS) bietet MiCAR-konformen Fintechs zudem SEPA-Überweisungen, Fiat-On-Ramps und Konten an. Die Bank und ihre Tochtergesellschaften haben weder ihre Krypto-Bestände noch öffentlich zugängliche Wallets offengelegt. ZachXBT konnte die Transaktionen nur aufspüren, weil er einige der häufig genutzten zentralisierten Börsen beobachtete.
ZachXBT verfolgt Transaktionen von zentralisierten Börsen
Bei dem Angriff auf Crédit Mutuel wurden Gelder von mehreren Konten bei zentralisierten Börsen abgezogen. Am 2. November bezifferte ZachXBT die Verluste aus mehreren Konten bei zentralisierten Börsen auf 106 Millionen US-Dollar. Die Gelder wurden in USDC und USDT abgezogen.
Der Angreifer tauschte USDC anschließend über die Sofortbörsen WellWallet, Kyrrex und andere gegen ETH. Ein Teil der Gelder wurde über Wagyu Wallet in Monero (XMR) umgewandelt und auf andere Blockchains transferiert.
ZachXBT merkte an, dass das Vorgehen bei der Geldwäsche nicht den üblichen Methoden der Lazarus-Gruppe entsprach. Nordkoreanische Hacker bewegen Gelder üblicherweise schnell über On-Chain-Transaktionen, meist unter Nutzung von Ethereum und dessen Mixing-Diensten. Der Tausch über zentralisierte Börsen ist ein ungewöhnliches Muster bei der Geldwäsche.
Angreifer transferierte Gelder von einem Kraken-Konto
Ein Teil der Gelder wurde aus der Kraken-Hot-Wallet abgezogen, wie aus den von ZachXBT zusammengefassten Wallets des Angreifers hervorgeht. Später wurden die Gelder in kleinere Beträge aufgeteilt und an neue Adressen transferiert. Nach einem Tag mit Angriffen schränkte Kraken die mit dem Exploit verknüpften Wallets ein, die Gelder wurden jedoch nicht eingefroren.
Bei der ersten Angriffswelle kamen 11 neue Wallets zum Einsatz, von denen überwiegend Gelder aus Krakens Hot-Wallet abgezogen wurden. Mehrere Transaktionen gingen von Wallets bei Crypto.com und OKX aus, was auf mehrere kompromittierte Konten hindeutet. Die zweite Abzugswelle, bei der weitere 27 Millionen US-Dollar bewegt wurden, betraf ebenfalls überwiegend Kraken-Wallets.
ZachXBT merkte an, dass die Abhebungen von den Börsen auch nach der ersten Mitteilung weitergingen. Die französische Bank äußerte sich zunächst nicht dazu.
„Meine Arbeitstheorie ist, dass ein großes Finanzinstitut in Westeuropa angegriffen wurde und der Vorfall derzeit vertuscht wird“, kommentierte ZachXBT auf seinem Telegram-Kanal. ZachXBT zufolge waren bis heute bereits über 30 Millionen US-Dollar gewaschen worden, ohne Anzeichen dafür, dass EU-Ermittlungsbehörden Vermögenswerte eingefroren hätten.
Angreifer wurde zum ETH-Großinvestor
Der unbekannte Angreifer sorgte in der vergangenen Woche auch bei On-Chain-Explorern für Aufsehen, indem er in großem Stil ETH kaufte.
Das erste Anzeichen war eine unbekannte Wallet, die ETH im Wert von 27.553 US-Dollar zu einem Durchschnittspreis von 2.286 US-Dollar pro ETH kaufte. Nach dem jüngsten Kursrückgang war es nicht ungewöhnlich, dass Großinvestoren in großem Stil einstiegen.
Erst später wurde die Wal-Adresse mit dem laufenden Exploit in Verbindung gebracht. Anstatt die ETH als Reserve zu halten, begann die Wallet, die Gelder über mehrere Apps und Plattformen zu waschen.
Trotz der Abhebungen in USDC und USDT wurden die Stablecoins nicht eingefroren. Das steht im Gegensatz zur schnellen Reaktion auf den jüngsten Binance-Hack, bei dem Circle und Tether die markierten Wallet-Adressen des Angreifers sofort sperrten.
Die klügsten Köpfe der Kryptobranche lesen bereits unseren Newsletter. Lust, dabei zu sein? Mach mit.