ZachXBT a identifié Crédit Mutuel Arkéa comme l’entité européenne qui a perdu 133 millions de dollars. Ces derniers jours, le chercheur spécialisé dans les transactions sur la blockchain a suivi d’importantes sorties suspectes des portefeuilles d’une entité, laissant penser qu’une grande institution européenne avait été compromise.
Ces derniers jours, le chercheur spécialisé dans les transactions sur la blockchain ZachXBT a suivi 133 millions de dollars de transactions suspectes et attribué les pertes à une entité européenne.
Les pertes proviendraient des portefeuilles crypto du groupe bancaire français Crédit Mutuel Arkéa. L’entité bancaire détient plus de 235 milliards de dollars d’actifs au total, les cryptomonnaies ne représentant qu’une petite part de son portefeuille.
L’attaque contre les portefeuilles a duré plusieurs jours et a impliqué des swaps et des opérations on-chain. ZachXBT continue de rechercher d’autres pertes et tentatives de blanchiment des fonds.
Crédit Mutuel Arkéa est une marque régionale du groupe Crédit Mutuel. En plus des services bancaires et d’assurance, le groupe propose des services bancaires et du traitement des paiements en marque blanche aux fintechs et aux néobanques. Certains de ses clients détiennent également des cryptomonnaies, notamment Stripe.
La filiale Arkéa Banking Services (ABS) propose également des virements SEPA, des passerelles d’accès aux monnaies fiduciaires et des comptes pour les fintechs conformes au règlement MiCAR. La banque et ses filiales n’ont pas divulgué leurs avoirs en cryptomonnaies ni les adresses de leurs portefeuilles accessibles au public. Les transactions interceptées par ZachXBT n’ont été repérées que grâce à la surveillance de certaines plateformes d’échange centralisées couramment utilisées.
ZachXBT suit les transactions des plateformes d’échange centralisées
L’attaque visant le Crédit Mutuel a permis de dérober des fonds sur plusieurs comptes de plateformes d’échange centralisées. Le 2 novembre, ZachXBT a recensé 106 M$ de pertes sur plusieurs comptes de plateformes d’échange centralisées. Les fonds ont été retirés en USDC et en USDT.
L’auteur de la menace a ensuite échangé des USDC contre de l’ETH par l’intermédiaire des plateformes d’échange instantané WellWallet, Kyrrex et d’autres. Une partie des fonds a été convertie en Monero (XMR) via Wagyu Wallet, puis transférée vers d’autres chaînes.
ZachXBT a fait remarquer que la méthode de blanchiment ne correspondait pas aux pratiques habituelles du groupe Lazarus. Les pirates nord-coréens déplacent généralement rapidement les fonds par des opérations on-chain, le plus souvent en utilisant Ethereum et ses mixeurs. Le recours aux plateformes d’échange centralisées est une méthode de blanchiment inhabituelle.
L’auteur de la menace a transféré des fonds depuis un compte Kraken
Selon les portefeuilles de l’auteur de la menace regroupés par ZachXBT, une partie des fonds a été retirée du portefeuille chaud de Kraken. Les fonds ont ensuite été répartis en réserves plus petites et transférés vers de nouvelles adresses. Après une journée d’attaques, Kraken a restreint les portefeuilles liés à l’exploitation de la faille, mais les fonds n’ont pas été gelés.
La première vague d’attaques a utilisé 11 nouveaux portefeuilles, qui ont principalement servi à retirer des fonds du portefeuille chaud de Kraken. Plusieurs transactions provenaient de portefeuilles Crypto.com et OKX, ce qui laisse penser que plusieurs comptes ont été compromis. La deuxième vague de retraits, portant sur 27 M$ supplémentaires, a également touché principalement des portefeuilles Kraken.
ZachXBT a fait remarquer que les retraits des plateformes d’échange se sont poursuivis même après l’annonce initiale, sans réaction immédiate de la banque française.
« Selon mon hypothèse de travail, une grande institution financière d’Europe occidentale a été compromise et l’affaire est actuellement étouffée », a commenté ZachXBT sur sa chaîne Telegram. À ce jour, ZachXBT a indiqué que plus de 30 M$ avaient déjà été blanchis, sans aucun signe de gel des avoirs par les autorités européennes chargées de l’application de la loi.
L’auteur de la menace s’est transformé en baleine de l’ETH
Au cours de la semaine écoulée, l’auteur de la menace, dont l’identité reste inconnue, a également fait parler de lui auprès des explorateurs on-chain en se comportant comme un acheteur d’ETH à grande échelle.
Le premier signe a été l’achat de 27,553 ETH par un portefeuille inconnu, au prix moyen de 2,286 $ par ETH. Après la récente baisse des cours, il n’était pas inhabituel de voir des baleines intervenir à grande échelle.
Ce n’est que plus tard que l’adresse de la baleine a été identifiée comme étant liée à l’exploitation de la faille en cours. Au lieu de conserver l’ETH comme réserve, le portefeuille a commencé à blanchir les fonds via plusieurs applications et plateformes.
Malgré les retraits en USDC et en USDT, ces stablecoins n’ont pas été gelés. Cette décision contraste avec la réaction rapide au récent piratage de Binance, lorsque Circle et Tether ont immédiatement gelé les adresses signalées comme appartenant à l’auteur de l’attaque.
Les esprits les plus brillants de la crypto lisent déjà notre newsletter. Vous voulez en faire partie ? Rejoignez-les.