Une banque française de 235 Md$ reste-t-elle silencieuse face à un vol crypto de 133 M$ ?

ZachXBT a identifié Crédit Mutuel Arkea comme l'entité européenne ayant perdu 133 M$. Au cours des derniers jours, le chercheur on-chain a suivi des flux sortants massifs et suspects depuis les portefeuilles d'une entité, suggérant qu'une grande institution européenne avait été compromise. 

Le chercheur on-chain ZachXBT a suivi 133 M$ de transactions suspectes au cours des derniers jours, reliant ces pertes à une entité européenne. 

Les pertes proviendraient des portefeuilles de cryptomonnaies du groupe bancaire français Crédit Mutuel Arkea. L'entité bancaire détient plus de 235 M$ d'actifs totaux, les cryptomonnaies ne représentant qu'une petite partie de son portefeuille. 

L'attaque contre les portefeuilles a duré plusieurs jours et a inclus des swaps on-chain et d'autres opérations. ZachXBT recherche toujours d'autres pertes et tentatives de blanchiment des fonds. 

Crédit Mutuel Arkea est une marque régionale du groupe Crédit Mutuel. Outre les services bancaires et d'assurance, le groupe propose des services bancaires et du traitement de paiements en marque blanche pour les fintechs et les néobanques. Certains de ses clients détiennent également des cryptomonnaies, y compris Stripe. 

La filiale Arkéa Banking Services (ABS) propose également des virements SEPA, des passerelles fiat et des comptes pour les fintechs conformes à la réglementation MiCAR. La banque et ses filiales n'ont pas divulgué leurs avoirs en cryptomonnaies ni leurs portefeuilles publics. Les transactions interceptées par ZachXBT ont été détectées grâce à l'observation de certains échanges centralisés couramment utilisés.

ZachXBT suit les transactions provenant d'échanges centralisés

L'attaque contre Crédit Mutuel a permis aux attaquants de prélever des fonds sur une série de comptes d'échanges centralisés. Le 2 novembre, ZachXBT a identifié des pertes s'élevant à 106 millions de dollars provenant de plusieurs comptes d'échanges centralisés. Les fonds ont été retirés en USDC et en USDT. 

L'acteur malveillant a ensuite échangé des USDC contre de l'ETH via des échanges instantanés tels que WellWallet, Kyrrex et d'autres. Une partie des fonds a été convertie en Monero (XMR) via Wagyu Wallet, puis transférée vers d'autres blockchains. 

ZachXBT a noté que le modèle de blanchiment ne correspondait pas aux procédures opérationnelles habituelles du groupe Lazarus. Les pirates nord-coréens déplacent généralement rapidement les fonds via des opérations sur la chaîne, le plus souvent en utilisant Ethereum et ses mélangeurs. Le passage par des échanges centralisés constitue un schéma de blanchiment inhabituel. 

L'acteur de la menace a retiré les fonds d'un compte sur l'échange Kraken

Une partie des fonds a été retirée du portefeuille chaud de Kraken, selon l'acteur de la menace portefeuilles agrégés par ZachXBT. Plus tard, les fonds ont été divisés en réserves plus petites et transférés vers de nouvelles adresses. Après une journée d'attaques, Kraken a restreint les portefeuilles liés à l'exploitation, bien que les fonds n'aient pas été gelés. 

La première vague d'attaques a utilisé 11 nouveaux portefeuilles, principalement pour retirer des fonds du portefeuille chaud de Kraken. Plusieurs transactions provenaient de Crypto.com et de portefeuilles OKX, suggérant plusieurs comptes compromis. La deuxième vague de retraits, déplaçant 27 millions de dollars supplémentaires, a également touché majoritairement les portefeuilles Kraken. 

ZachXBT a noté que les retraits de l'échange se sont poursuivis même après l'annonce initiale, sans commentaire immédiat de la part de la banque française. 

« Ma théorie de travail est qu’une grande institution financière en Europe occidentale a été exploitée et que cela fait actuellement l’objet d’une couverture médiatique », a commenté ZachXBT à travers son canal Telegram. À ce jour, ZachXBT a noté que plus de 30 millions de dollars avaient déjà été blanchis, sans signe de gel des actifs par les forces de l’ordre de l’UE. 

L’acteur malveillant est devenu une baleine ETH

L’acteur malveillant inconnu a également attiré l’attention des explorateurs de chaînes au cours de la semaine dernière en agissant comme un acheteur à grande échelle d’ETH. 

Le premier signe a été un portefeuille inconnu achetant $27,553 ETH à un prix moyen de 2 286 $ par ETH. Après la récente baisse des prix, il n’était pas inhabituel que les baleines entrent sur le marché à grande échelle.

Ce n’est que plus tard que l’adresse de la baleine identifié a été identifiée comme étant liée à l’exploitation continue. Au lieu de conserver l’ETH en tant que réserves, le portefeuille a commencé à blanchir les fonds via plusieurs applications et plateformes. 

Malgré les retraits en USDC et USDT, les stablecoins n’ont pas été gelés. Cette décision contraste avec la réaction rapide lors de la récente Piratage de Binance, où Circle et Tether ont immédiatement gelé les adresses des exploiteurs signalés.