Um banco francês de $235B mantém silêncio sobre roubo de cripto de $133M?

ZachXBT identificou o Crédit Mutuel Arkea como a entidade europeia que perdeu US$ 133 milhões. Nos últimos dias, o pesquisador on-chain rastreou saques suspeitos de grande escala das carteiras de uma entidade, sugerindo que uma grande instituição europeia foi comprometida. 

O pesquisador on-chain ZachXBT rastreou transações suspeitas no valor de US$ 133 milhões nos últimos dias, atribuindo as perdas a uma entidade europeia. 

As perdas ocorreram nas carteiras de criptomoedas do grupo bancário francês Crédit Mutuel Arkea. A entidade bancária possui mais de US$ 235 bilhões em ativos totais, com as criptomoedas representando uma pequena parte de seu portfólio. 

O ataque às carteiras durou vários dias e incluiu swaps e operações on-chain. ZachXBT ainda está buscando mais perdas e tentativas de lavagem dos fundos. 

O Crédit Mutuel Arkea é uma marca regional do grupo mais amplo Crédit Mutuel. Além de serviços bancários e seguros, o grupo oferece serviços bancários e processamento de pagamentos white-label para fintechs e neobancos. Alguns de seus clientes também operam com criptomoedas, incluindo a Stripe. 

A subsidiária Arkéa Banking Services (ABS) também oferece transferências SEPA, conversão de fiat em cripto e contas para fintechs em conformidade com a MiCAR. O banco e suas subsidiárias não divulgaram seus holdings de criptomoedas ou carteiras públicas. As transações interceptadas por ZachXBT foram detectadas apenas devido à observação de algumas das exchanges centralizadas comumente utilizadas.

ZachXBT rastreia transações de exchanges centralizadas

O ataque que afetou o Credit Mutuel retirou fundos de uma série de contas em exchanges centralizadas. Em 2 de novembro, ZachXBT identificou perdas de US$ 106 milhões provenientes de múltiplas contas em exchanges centralizadas. Os fundos foram sacados em USDC e USDT. 

Em seguida, o ator malicioso trocou USDC por ETH por meio de exchanges instantâneas como WellWallet, Kyrrex e outras. Parte dos fundos foi convertida em Monero (XMR) através da Wagyu Wallet e pontilhada para outras blockchains. 

ZachXBT observou que o modelo de lavagem não se encaixava nos procedimentos operacionais habituais do grupo Lazarus. Os hackers norte-coreanos geralmente movem os fundos rapidamente por meio de operações on-chain, mais frequentemente usando Ethereum e seus misturadores. A troca por meio de exchanges centralizadas é um padrão de lavagem incomum. 

O ator de ameaça transferiu os fundos de uma conta na exchange Kraken

Parte dos fundos foi retirada da carteira quente da Kraken, com base no comportamento do ator de ameaça carteiras agregado por ZachXBT. Posteriormente, os fundos foram divididos em reservas menores e transferidos para novos endereços. Após um dia de ataques, a Kraken restringiu as carteiras vinculadas à exploração, embora os fundos não tenham sido congelados. 

A primeira onda de ataques utilizou 11 novas carteiras, retirando predominantemente fundos da carteira quente da Kraken. Várias transações originaram-se de Crypto.com e carteiras OKX, sugerindo múltiplas contas comprometidas. A segunda onda de saques, movimentando outros US$ 27 milhões, também afetou principalmente as carteiras da Kraken. 

ZachXBT observou que os saques da exchange continuaram mesmo após o anúncio inicial, sem nenhum comentário imediato do banco francês. 

"Minha teoria de trabalho é que uma grande instituição financeira na Europa Ocidental foi explorada e está sendo encoberta no momento", comentou ZachXBT através do seu canal da Telegram. Até o momento, ZachXBT observou que mais de US$ 30 milhões já haviam sido lavados, sem sinais de congelamento de ativos pelas autoridades da UE. 

Ator de ameaça transformado em baleia de ETH

O ator de ameaça desconhecido também chamou a atenção dos exploradores on-chain na semana passada ao atuar como um comprador de grande escala de ETH. 

O primeiro sinal foi uma carteira desconhecida comprando $27,553 ETH a um preço médio de US$ 2.286 por ETH. Após a recente queda de preços, não era incomum que as baleias comprassem em larga escala.

Só mais tarde o endereço da baleia foi identificou identificado como conectado à exploração em andamento. Em vez de manter o ETH como reservas, a carteira começou a lavar os fundos por meio de vários aplicativos e plataformas. 

Apesar das retiradas em USDC e USDT, as stablecoins não foram congeladas. A decisão contrasta com a rápida reação ao recente Hackeamento da Binance, quando Circle e Tether congelaram imediatamente os endereços dos exploradores identificados.