ZachXBTが名指しした。1億3,300万ドルを盗まれたEUの金融機関は、フランスのCrédit Mutuel Arkéa。2,350億ドルを運用する銀行だ。

今朝の時点で、銀行は確認しておらず、フランスの規制当局も発表していない。名前を挙げた情報源は彼一人で、3日になってようやく名指しした。

11月1日、この金融機関がKraken、Crypto.com、OKXなどの取引所に保有していた口座から、通常の出金手続きで1億600万ドルが引き出された。大半はUSDCとUSDTだった。11月3日にはさらに2,700万ドルが判明し、被害総額は1億3,300万ドルを超えた。

Krakenの発表によると、プラットフォームは侵害されておらず、顧客アカウントも乗っ取られていない。資金は金融機関自身の口座から、正規の権限を使って引き出された。今回、取引所のコールドウォレットも準備金証明も、どちらも関係なかった。

引き出された資金が最初にしたのは、暗号資産の交換だ。約6,298万ドル相当のステーブルコインが4時間以内に27,553 ETHに交換され、その後、即時交換やクロスチェーンブリッジを経由し、一部はモネロに交換された。ステーブルコインはCircleやTetherが凍結できるが、ETHやモネロは凍結できない。

彼が公表する前に、すでに3,000万ドル以上が洗浄されていた。ZachXBTは、取引所や法執行機関に早く通知していれば、この資金は凍結できたはずだと述べた。EUでは2025年1月からDORAが施行され、金融機関は重大なインシデントを4時間以内に報告し、遅くとも24時間以内に届け出ることが求められる。

11月3日時点のオンチェーンデータによると、7,830万ドルが攻撃者のアドレスに残っており、3,050万ドルはすでに送金されている。

取引所がハッキングされれば発表があるが、口座から資金が全額引き出されても発表はない。1億ドル以上もの資金を、一度の操作で引き出せる場所に置いておくべきではない。今夜、取引所APIの出金権限を無効にして、出金先のホワイトリストには自分のアドレスだけを残す。