Resumo: ZachXBT rastreou mais de 133 milhões de dólares através da Fortuneo até canais de criptoativos. O banco nega que a Fortuneo tenha sido o ponto de entrada e afirma que o ataque passou pela plataforma de um prestador de serviços terceiro.
Em 4 de novembro, o Crédit Mutuel Arkéa publicou um comunicado, respondendo pela primeira vez ao roubo de fundos divulgado por ZachXBT no final de outubro. A versão do banco e a do jornalista de investigação divergem quanto à atribuição central da responsabilidade.
O banco admitiu que houve transações fraudulentas e que os fundos saíram de contas próprias do banco para outras instituições financeiras, podendo depois ter sido convertidos em criptomoedas através de plataformas especializadas. Mas negou explicitamente que a Fortuneo tenha sido o «ponto de entrada» do ataque: «Apesar do que foi noticiado pelos meios de comunicação, não houve qualquer entrada através da Fortuneo. Os atacantes chegaram diretamente ao Crédit Mutuel Arkéa através da plataforma de um dos nossos prestadores de serviços.»
No mesmo dia, o jornalista especializado em criptoativos Grégory Raymond apresentou outra versão: os burlões podiam iniciar transferências a partir da Fortuneo e escolher eles próprios o nome do destinatário, contornando assim a verificação da identidade do beneficiário pelo banco. Depois de os fundos serem creditados, eram convertidos em stablecoins e levantados para carteiras externas.
O dinheiro saiu mesmo. Mas «de onde foi autorizada a saída do dinheiro» e «onde foi permitido que o dinheiro entrasse» são duas questões diferentes. O banco responde à segunda; a investigação, à primeira.
O que é visível na blockchain
O montante total de branqueamento de capitais rastreado por ZachXBT foi inicialmente estimado em 106 milhões de dólares em stablecoins, tendo depois sido revisto em alta para mais de 133 milhões. Grégory Raymond afirmou que os 133 milhões de dólares correspondem apenas à parte visível na blockchain e que as perdas reais poderão ser superiores.
A cronologia dos fundos é relativamente clara. Segundo dados da Bitquery, o primeiro levantamento saiu da Crypto.com às 12:25 UTC de 1 de novembro; 44 minutos depois, a Kraken registou saídas frequentes. Durante a noite de 1 para 2 de novembro, cerca de 63 milhões de dólares em USDC e USDT foram convertidos em 27 553 ETH através da Uniswap (ou UniswapX); parte dos fundos foi depois convertida em Monero através de canais entre blockchains.
A Kraken começou a congelar os fundos relacionados na noite de 2 de novembro e declarou que os seus sistemas de segurança não foram comprometidos e que nenhuma conta de cliente foi tomada por terceiros. A Crypto.com também adotou medidas de congelamento e afirmou igualmente que a sua própria plataforma não foi invadida.
Isto significa que, se as declarações das duas corretoras forem verdadeiras, a falha não está nos sistemas de contas das plataformas de criptoativos, mas na etapa anterior à entrada de fundos fiduciários nas plataformas — os processos de autorização e transferência do lado do banco.
O que o banco nega e o que admite
Vale a pena analisar o comunicado do banco frase a frase. O banco nega que a «Fortuneo tenha sido o ponto de entrada», mas não nega que os fundos tenham saído de contas bancárias. Admite que «foram utilizadas contas do próprio banco para realizar transações», mas atribui a origem do acesso a um prestador de serviços terceiro não identificado.
O banco também negou que a causa tenha sido um «erro humano interno»: «Não. Foi um ataque sofisticado de origem externa, que já está sob controlo.» Esta negação contrasta com as informações de fontes próximas dos círculos de hackers. Estas tendem a considerar que a vulnerabilidade poderá ter tido origem na manipulação de funcionários para que colaborassem — uma variante do «golpe do falso presidente», em que alguém se faz passar por um executivo para levar um funcionário a efetuar uma transferência.
A divergência entre estas duas versões não está em saber «se houve uma transferência», mas em como foi obtida a autorização. Se a responsabilidade for atribuída à intrusão numa plataforma externa, é possível que as defesas da Fortuneo não tenham sido diretamente comprometidas a nível técnico. Se for atribuída à manipulação de funcionários, então a afirmação de que «o ponto de entrada não foi a Fortuneo» poderá ser literalmente verdadeira, mas isso não transfere a responsabilidade para fora do banco: a segurança das pessoas e dos processos também faz parte das defesas do banco.
Congelamento e recuperação: dois números diferentes
No comunicado, o banco declarou que «parte dos fundos foi congelada e estão em curso outras ações de recuperação». Ao mesmo tempo, não confirmou o valor específico de 118 milhões de euros (133 milhões de dólares), reconhecendo apenas a ordem de grandeza. As perdas finais continuam a ser avaliadas.
O congelamento ocorreu depois de parte dos fundos já ter sido convertida em ETH e dispersada por canais entre blockchains. Os 133 milhões de dólares visíveis na blockchain e o montante das perdas que o banco venha finalmente a confirmar não serão uma simples equivalência. A afirmação do banco de que «o montante envolvido não comprometerá a solidez financeira do Crédit Mutuel Arkéa» serve para tranquilizar, não para divulgar informações.
Quanto à intervenção regulatória, as informações públicas indicam que o banco notificou o Banque de France. O comunicado do banco também afirma que está a colaborar com as «autoridades judiciais e policiais competentes» para determinar a origem do ataque. No entanto, a afirmação específica de que «as autoridades judiciais abriram formalmente uma investigação sobre a falsificação de poderes de executivos» não foi corroborada por declarações oficiais nem por fontes independentes. Deve ser considerada por confirmar e não apresentada como facto estabelecido.
O que observar a seguir
Será divulgada a identidade do prestador de serviços terceiro? Sem identificar o prestador, não será possível verificar de forma independente a atribuição de que o «ponto de entrada não foi a Fortuneo». Se esse prestador também trabalhar com outras instituições financeiras, a exposição poderá não se limitar ao Arkéa.
Os valores do congelamento e das perdas finais poderão convergir? O banco reconhece a ordem de grandeza de 133 milhões de dólares, mas não confirmou o valor específico. A dimensão dos «fundos congelados» e a proporção que poderá ser recuperada são indicadores mais concretos do que o «montante total».
A atribuição da responsabilidade está a passar de «plataforma externa» para «pessoas/processos»? O banco negou explicitamente que tenha havido erro humano interno, mas as fontes do jornalista de investigação apontam para uma variante do «golpe do falso presidente». Qual das duas versões será primeiro sustentada por provas determinará onde recai a responsabilidade.
Confirmação oficial da intervenção judicial: o facto de o Banque de France ter sido informado do incidente corresponde a uma obrigação de comunicação administrativa e não equivale à abertura de um processo criminal. A existência de uma declaração judicial ou regulatória independente do comunicado do banco é a linha que separa um «incidente empresarial» de um «caso de aplicação da lei».
133 milhões de dólares já desapareceram dos registos. O que importa agora não é quem foi o primeiro a usar a palavra «ponto de entrada», mas qual das versões conseguirá manter-se até ao fim, sustentada por provas.
Aviso: o conteúdo destina-se apenas a fins informativos. Faça a sua própria pesquisa.