Grup keuangan Prancis Crédit Mutuel Arkéa mengonfirmasi serangan siber yang mengakibatkan transaksi penipuan senilai sekitar €118 juta ($133 juta). Insiden ini menjadi perhatian publik setelah diselidiki oleh penyelidik on-chain ZachXBT.

Pada 2 November, seorang peneliti melaporkan dugaan pencurian lebih dari $106 juta dalam bentuk USDC dan $USDT dari rekening yang terkait dengan organisasi Eropa yang tidak disebutkan namanya.

Keesokan harinya, ZachXBT menemukan penarikan mencurigakan lainnya senilai lebih dari $27 juta dari bursa kripto terpusat, sehingga total transaksi yang terkait dengan serangan tersebut melampaui $133 juta. Menurutnya, keterlambatan pengungkapan informasi memungkinkan pelaku mencuci lebih dari $30 juta pada saat itu.

Pada 4 November, ZachXBT menyebut Crédit Mutuel Arkéa sebagai dugaan korban. Pada hari yang sama, bank tersebut menerbitkan pernyataan tentang serangan siber itu, lalu mengeluarkan klarifikasi tambahan.

Kronologi serangan

Menurut peneliti tersebut, transaksi awal terjadi pada 1 November. Selama 24 jam berikutnya, pelaku aktif memindahkan dana di antara berbagai layanan dan blockchain.

Secara khusus, pelaku menukar $USDC dengan Ethereum ($ETH ), menggunakan layanan penukaran instan WellWallet dan Kyrrex, mengonversi aset menjadi Monero (XMR) melalui Wagyu, serta memindahkan dana antarjaringan.

Peneliti tersebut juga menemukan penarikan tambahan dari bursa terpusat, beberapa di antaranya terjadi setelah publikasi pertamanya mengenai insiden tersebut.

Berdasarkan metode pencucian dana, ZachXBT menyatakan bahwa dengan tingkat keyakinan tinggi, ia tidak menganggap kelompok Korea Utara Lazarus Group terlibat dalam serangan tersebut.

Keterangan dari bank

Dalam klarifikasi resminya, Crédit Mutuel Arkéa menjelaskan bahwa para pelaku menggunakan rekening milik grup keuangan tersebut untuk melakukan transaksi ke bank-bank lain. Dana itu kemudian mungkin dikonversi menjadi mata uang kripto melalui platform khusus.

Bank tersebut menegaskan bahwa para penyerang tidak menggunakan rekening nasabah dari unit maupun anak perusahaannya. Organisasi itu juga membantah laporan bahwa penyusupan terjadi melalui platform anak perusahaannya, Fortuneo. Menurut versi bank, para pelaku memanfaatkan infrastruktur salah satu kontraktor dan memperoleh akses langsung ke operasi Crédit Mutuel Arkéa.

Grup keuangan tersebut mengonfirmasi bahwa nilai kerugian berada di kisaran €118 juta, tetapi menolak menyebutkan jumlah kerugian final. Menurutnya, sebagian dana berhasil diblokir dan upaya untuk mengembalikannya masih berlangsung.

Bank tersebut juga menyatakan bahwa insiden itu tidak berdampak pada aset nasabah. Beberapa transaksi transfer sempat tertunda untuk sementara, tetapi sebagian besar kembali berjalan pada pagi hari tanggal 4 November, setelah pemeriksaan dan peningkatan langkah-langkah keamanan.

Crédit Mutuel Arkéa menyebut kejadian tersebut sebagai serangan eksternal yang kompleks dan menolak dugaan bahwa insiden itu disebabkan oleh kesalahan manusia di dalam organisasi. Bank tersebut bekerja sama dengan aparat penegak hukum dan otoritas pengawas untuk mengetahui asal-usul serangan serta metode pasti yang digunakan.

Menurut pernyataan tersebut, grup keuangan itu memiliki 5,8 juta nasabah dan total aset sebesar €211,5 miliar.

Sebagai pengingat, pada bulan Oktober, 130 dari 555 perusahaan keuangan Korea Selatan melaporkan adanya kekurangan dalam perlindungan siber berdasarkan hasil pemeriksaan mandiri.