ZachXBT ha identificado a Crédit Mutuel Arkea como la entidad europea que perdió 133 millones de dólares. En los últimos días, el investigador on-chain rastreó grandes salidas sospechosas de las billeteras de una entidad, lo que sugiere que una gran institución europea fue vulnerada.
El investigador on-chain ZachXBT rastreó transacciones sospechosas por valor de 133 millones de dólares en los últimos días y atribuyó las pérdidas a una entidad europea.
Según se informa, las pérdidas provinieron de las billeteras de criptomonedas del grupo bancario francés Crédit Mutuel Arkea. La entidad bancaria cuenta con activos totales por más de 235.000 millones de dólares, y las criptomonedas representan una pequeña parte de su cartera.
El ataque contra las billeteras duró varios días e incluyó swaps y operaciones on-chain. ZachXBT sigue buscando más pérdidas y posibles intentos de blanqueo de los fondos.
Crédit Mutuel Arkea es una marca regional del grupo Crédit Mutuel. Además de servicios bancarios y de seguros, el grupo ofrece servicios bancarios y procesamiento de pagos de marca blanca para empresas fintech y neobancos. Algunos de sus clientes también gestionan criptomonedas, entre ellos Stripe.
La filial Arkéa Banking Services (ABS) también ofrece transferencias SEPA, vías de entrada a las monedas fiduciarias y cuentas para empresas fintech que cumplen con MiCAR. El banco y sus filiales no han revelado sus tenencias de criptomonedas ni las billeteras de acceso público. ZachXBT solo detectó las transacciones interceptadas al vigilar algunos de los exchanges centralizados de uso más común.
ZachXBT rastrea transacciones de exchanges centralizados
El ataque que afectó a Credit Mutuel sustrajo fondos de varias cuentas de exchanges centralizados. El 2 de noviembre, ZachXBT identificó pérdidas de 106 millones de dólares en varias cuentas de exchanges centralizados. Los fondos se retiraron en USDC y USDT.
Luego, el actor de amenazas intercambió USDC por ETH a través de los exchanges instantáneos WellWallet, Kyrrex y otros. Parte de los fondos se convirtió en Monero (XMR) a través de Wagyu Wallet y se transfirió a otras cadenas.
ZachXBT señaló que el método de blanqueo no coincidía con los procedimientos habituales del grupo Lazarus. Los hackers norcoreanos suelen mover los fondos rápidamente mediante operaciones on-chain, casi siempre usando Ethereum y sus mezcladores. El uso de exchanges centralizados para hacer swaps es un patrón de blanqueo inusual.
El actor de amenazas retiró fondos de una cuenta de Kraken
Según las billeteras del actor de amenazas agrupadas por ZachXBT, algunos fondos se retiraron de la billetera caliente de Kraken. Más tarde, los fondos se dividieron en reservas más pequeñas y se trasladaron a nuevas direcciones. Tras un día de ataques, Kraken restringió las billeteras vinculadas al exploit, aunque los fondos no se han congelado.
La primera oleada de ataques utilizó 11 billeteras nuevas, que retiraron principalmente fondos de la billetera caliente de Kraken. Varias transacciones se originaron en billeteras de Crypto.com y OKX, lo que sugiere que se comprometieron varias cuentas. La segunda oleada de retiros, que movilizó otros 27 millones de dólares, también afectó principalmente a billeteras de Kraken.
ZachXBT señaló que los retiros de los exchanges continuaron incluso después del anuncio inicial, mientras el banco francés no hacía comentarios de inmediato.
«Mi hipótesis de trabajo es que vulneraron a una gran institución financiera de Europa occidental y que actualmente lo están encubriendo», comentó ZachXBT en su canal de Telegram. Hasta la fecha, ZachXBT señaló que ya se habían blanqueado más de 30 millones de dólares, sin indicios de que las autoridades policiales de la UE hubieran congelado activos.
El actor de amenazas se convirtió en una ballena de ETH
La semana pasada, el actor de amenazas desconocido también llamó la atención de los exploradores on-chain al actuar como comprador de ETH a gran escala.
La primera señal fue que una billetera desconocida compró 27.553 ETH a un precio promedio de 2.286 dólares por ETH. Tras la reciente caída de precios, no era inusual que las ballenas realizaran movimientos a gran escala.
Solo más tarde se identificó la dirección de la ballena como vinculada al exploit en curso. En vez de conservar el ETH como reserva, la billetera empezó a blanquear los fondos a través de varias aplicaciones y plataformas.
A pesar de los retiros en USDC y USDT, las stablecoins no se han congelado. La decisión contrasta con la rápida respuesta al reciente hackeo de Binance, cuando Circle y Tether congelaron de inmediato las direcciones señaladas del atacante.
Las mentes más brillantes del mundo cripto ya leen nuestro boletín. ¿Quieres sumarte? Únete a ellas.