Кратко: ZachXBT проследил путь более 133 миллионов долларов через Fortuneo к криптовалютным платформам. Банк отрицает, что Fortuneo была точкой входа, и утверждает, что атака произошла через платформу стороннего поставщика услуг.
4 ноября Crédit Mutuel Arkéa опубликовал заявление, впервые отреагировав на кражу средств, о которой ZachXBT сообщил в конце октября. Версии банка и журналистов-расследователей расходятся в вопросе о ключевой причине произошедшего.
Банк признал, что были совершены мошеннические транзакции, а средства с собственных счетов банка перевели в другие финансовые организации и, возможно, затем обменяли на криптовалюту через специализированные платформы. Вместе с тем он прямо отрицает, что Fortuneo была «точкой входа» для атаки: «Несмотря на сообщения СМИ, проникновения через Fortuneo не было. Злоумышленники напрямую добрались до Crédit Mutuel Arkéa через платформу одного из наших поставщиков услуг».
В тот же день криптожурналист Грегори Раймон представил другую версию: мошенники могли инициировать перевод через Fortuneo и сами указать имя получателя, обойдя банковскую проверку соответствия имени получателя его реальным данным. После поступления средства обменяли на стейблкоины и вывели на внешние кошельки.
Деньги действительно ушли. Но «откуда разрешили их перевести» и «откуда позволили им поступить» — это два разных вопроса. Банк отвечает на второй, расследование — на первый.
То, что видно в блокчейне
Изначально ZachXBT оценил общий объём отмытых средств в 106 миллионов долларов в стейблкоинах, а затем повысил оценку до более чем 133 миллионов. По словам Грегори Раймона, 133 миллиона долларов — это лишь видимая в блокчейне часть, а фактический ущерб может быть больше.
Хронология движения средств прослеживается достаточно чётко. По данным Bitquery, первый вывод средств с Crypto.com произошёл 1 ноября в 12:25 UTC; спустя 44 минуты Kraken зафиксировала серию частых исходящих переводов. В ночь с 1 на 2 ноября около 63 миллионов долларов в USDC и USDT обменяли через Uniswap (или UniswapX) на 27 553 ETH; часть средств затем конвертировали в монеро через межсетевые каналы.
Kraken начала замораживать связанные с инцидентом средства в ночь на 2 ноября и заявила, что её системы безопасности не были взломаны, а счета клиентов не переходили под контроль третьих лиц. Crypto.com также заморозила средства и заявила, что её платформа не подвергалась взлому.
Это означает, что, если заявления обеих криптобирж верны, уязвимость была не в системах учётных записей криптоплатформ, а на предшествующем этапе — до поступления фиатных средств на платформы, то есть в банковских процедурах авторизации и переводов.
Что банк отрицает, а что признаёт
Заявление банка стоит разобрать по фразам. Он отрицает, что «точкой входа» была Fortuneo, но не отрицает, что средства ушли с банковских счетов. Банк признаёт, что «для проведения транзакций использовались собственные счета банка», но утверждает, что доступ к ним был получен через не названного по имени стороннего поставщика услуг.
Банк также отрицает, что причиной стала «внутренняя человеческая ошибка»: «Нет. Это была сложная внешняя атака, которая уже взята под контроль». Это заявление расходится с сообщениями источников, близких к хакерскому сообществу. По их версии, уязвимость могла возникнуть из-за того, что сотрудников склонили к содействию, — в результате разновидности мошенничества с подменой руководителя, когда злоумышленники выдают себя за топ-менеджеров и побуждают сотрудников выполнить перевод.
Разногласие между этими версиями не в том, «были ли переводы», а в том, как удалось получить на них разрешение. Если в итоге причиной признают проникновение через внешнюю платформу, защиту Fortuneo, возможно, не взломали напрямую на техническом уровне. Если же выяснится, что сотрудников ввели в заблуждение, то формулировка «точка входа была не в Fortuneo» может быть верна буквально, но это не снимает ответственности с банка: безопасность персонала и процессов — часть банковской защиты.
Заморозка и возврат средств: две разные цифры
В заявлении банк сообщил, что «часть средств заморожена, а работа по возврату остальных продолжается». При этом он прямо отказался подтвердить конкретную сумму в 118 миллионов евро (133 миллиона долларов), признав лишь её порядок величины. Окончательный размер убытков всё ещё оценивается.
Заморозка произошла после того, как часть средств уже конвертировали в ETH и распределили по межсетевым каналам. Между 133 миллионами долларов, видимыми в блокчейне, и суммой убытков, которую в итоге подтвердит банк, не будет простого равенства. Заявление банка о том, что «сумма средств, фигурирующая в деле, не подорвёт финансовую устойчивость Crédit Mutuel Arkéa», призвано успокоить, а не раскрыть информацию.
Что касается участия регулирующих органов, из открытых источников следует, что банк уведомил Банк Франции (Banque de France). В своём заявлении банк также сообщил о сотрудничестве с «компетентными судебными и правоохранительными органами» для установления источника атаки. Однако конкретное утверждение, что «судебные органы официально начали расследование подделки полномочий руководителей», не подтверждено ни официальными заявлениями, ни независимыми источниками. Его следует считать требующим проверки и не представлять как установленный факт.
За чем следить дальше
Будет ли раскрыто имя стороннего поставщика услуг: пока он не назван, версию о том, что «точка входа была не в Fortuneo», нельзя проверить независимо. Если этот поставщик обслуживает и другие финансовые организации, последствия могут затронуть не только Arkéa.
Сойдутся ли оценки замороженных средств и окончательных убытков: банк признаёт порядок величины в 133 миллиона долларов, но не подтверждает конкретную сумму. Размер «части средств», которую удалось заморозить, и доля, которую можно вернуть, — более надёжные показатели, чем «общая сумма».
Сместится ли версия о причине с «внешней платформы» на «сотрудников/процессы»: банк прямо отрицает внутреннюю человеческую ошибку, однако источники журналистов-расследователей указывают на разновидность мошенничества с подменой руководителя. То, какая из двух версий первой получит подтверждение доказательствами, определит, на кого возложат ответственность.
Официальное подтверждение вмешательства правосудия: осведомлённость Банка Франции об инциденте — это административная обязанность по уведомлению, а не уголовное расследование. Наличие заявления судебных или надзорных органов, независимого от сообщения банка, — граница между «корпоративным инцидентом» и «правоохранительным делом».
133 миллиона долларов уже исчезли со счетов. Теперь важно не то, кто первым произнесёт слово «точка входа», а то, какую версию в конечном счёте подтвердят доказательства.
Примечание: материал носит исключительно информационный характер. Проводите собственное исследование.