ZachXBT đã xác định Crédit Mutuel Arkea là tổ chức tại châu Âu bị mất 133 triệu USD. Trong vài ngày qua, nhà nghiên cứu on-chain này đã theo dõi các dòng tiền đáng ngờ quy mô lớn rút khỏi ví của một tổ chức, cho thấy một định chế lớn tại châu Âu có thể đã bị xâm nhập.

Nhà nghiên cứu on-chain ZachXBT đã theo dõi 133 triệu USD giao dịch đáng ngờ trong vài ngày qua và truy ra khoản thiệt hại thuộc về một tổ chức tại châu Âu.

Theo các báo cáo, khoản thiệt hại đến từ các ví tiền mã hóa của tập đoàn ngân hàng Pháp Crédit Mutuel Arkea. Tổ chức ngân hàng này có tổng tài sản hơn 235 tỷ USD, trong đó tiền mã hóa chỉ chiếm một phần nhỏ trong danh mục đầu tư.

Cuộc tấn công nhắm vào các ví kéo dài nhiều ngày, bao gồm các giao dịch hoán đổi và hoạt động trên chuỗi. ZachXBT vẫn đang tìm kiếm thêm các khoản thất thoát và dấu hiệu tẩu tán số tiền này.

Crédit Mutuel Arkea là thương hiệu khu vực thuộc Tập đoàn Crédit Mutuel rộng lớn hơn. Ngoài dịch vụ ngân hàng và bảo hiểm, tập đoàn còn cung cấp dịch vụ ngân hàng và xử lý thanh toán nhãn trắng cho các công ty fintech và ngân hàng số. Một số khách hàng của tập đoàn cũng nắm giữ tiền mã hóa, trong đó có Stripe.

Công ty con Arkéa Banking Services (ABS) cũng cung cấp dịch vụ chuyển khoản SEPA, các giải pháp chuyển đổi tiền pháp định sang tiền mã hóa và tài khoản cho các công ty fintech tuân thủ MiCAR. Ngân hàng và các công ty con chưa công bố lượng tiền mã hóa họ nắm giữ hoặc các ví công khai. ZachXBT chỉ phát hiện được những giao dịch bị đánh cắp nhờ theo dõi một số sàn giao dịch tập trung thường được sử dụng.

ZachXBT theo dõi các giao dịch từ những sàn giao dịch tập trung

Cuộc tấn công ảnh hưởng đến Credit Mutuel đã lấy cắp tiền từ một loạt tài khoản trên các sàn giao dịch tập trung. Ngày 2 tháng 11, ZachXBT xác định khoản thất thoát 106 triệu USD từ nhiều tài khoản trên các sàn giao dịch tập trung. Số tiền này được rút bằng USDC và USDT.

Sau đó, tác nhân đe dọa đã hoán đổi USDC lấy ETH thông qua các sàn giao dịch tức thì WellWallet, Kyrrex và những nền tảng khác. Một phần số tiền được chuyển đổi sang Monero (XMR) thông qua Wagyu Wallet rồi chuyển sang các chuỗi khác.

ZachXBT nhận định phương thức rửa tiền này không phù hợp với quy trình hoạt động thông thường của nhóm Lazarus. Tin tặc Triều Tiên thường nhanh chóng chuyển tiền qua các hoạt động trên chuỗi, chủ yếu sử dụng Ethereum và các dịch vụ trộn tiền của mạng này. Hoán đổi thông qua các sàn giao dịch tập trung là một kiểu rửa tiền bất thường.

Tác nhân đe dọa đã chuyển tiền khỏi một tài khoản trên sàn Kraken

Theo các ví của tác nhân đe dọa được ZachXBT tổng hợp, một phần số tiền đã được rút khỏi ví nóng của Kraken. Sau đó, số tiền được chia thành các khoản nhỏ hơn và chuyển đến những địa chỉ mới. Sau một ngày bị tấn công, Kraken đã hạn chế các ví liên quan đến vụ khai thác lỗ hổng, dù số tiền vẫn chưa bị đóng băng.

Đợt tấn công đầu tiên sử dụng 11 ví mới, chủ yếu rút tiền từ ví nóng của Kraken. Một số giao dịch bắt nguồn từ các ví Crypto.com và OKX, cho thấy nhiều tài khoản có thể đã bị xâm nhập. Đợt rút tiền thứ hai, với thêm 27 triệu USD được chuyển đi, cũng chủ yếu ảnh hưởng đến các ví Kraken.

ZachXBT lưu ý rằng việc rút tiền khỏi các sàn giao dịch vẫn tiếp diễn ngay cả sau thông báo ban đầu, trong khi ngân hàng Pháp chưa đưa ra bình luận ngay lập tức.

“Giả thuyết làm việc của tôi là một tổ chức tài chính lớn ở Tây Âu đã bị khai thác và hiện vụ việc đang bị che đậy,” ZachXBT bình luận trên kênh Telegram của mình. ZachXBT cho biết đến nay hơn 30 triệu USD đã bị rửa, nhưng lực lượng thực thi pháp luật EU chưa có dấu hiệu đóng băng tài sản.

Tác nhân đe dọa trở thành cá voi ETH

Trong tuần qua, tác nhân đe dọa chưa rõ danh tính cũng khiến các công cụ khám phá dữ liệu trên chuỗi chú ý khi mua ETH với quy mô lớn.

Dấu hiệu đầu tiên là một ví chưa rõ danh tính mua 27.553 ETH với giá trung bình 2.286 USD mỗi ETH. Sau đợt giảm giá gần đây, việc các cá voi mua vào với quy mô lớn không phải là điều bất thường.

Mãi sau này, địa chỉ của cá voi mới được xác định là có liên quan đến vụ khai thác lỗ hổng đang diễn ra. Thay vì giữ ETH làm tài sản dự trữ, ví này bắt đầu rửa tiền thông qua nhiều ứng dụng và nền tảng.

Dù USDC và USDT đã bị rút đi, các stablecoin này vẫn chưa bị đóng băng. Quyết định này trái ngược với phản ứng nhanh chóng trước vụ tấn công Binance gần đây, khi Circle và Tether lập tức đóng băng các địa chỉ của kẻ khai thác bị gắn cờ.

Những bộ óc xuất sắc nhất trong lĩnh vực tiền mã hóa đã đọc bản tin của chúng tôi. Bạn muốn tham gia không? Hãy tham gia cùng họ.