Napad na Crédit Mutuel Arkéa: jak 133 mln dolarów wypłynęło przez dostawcę usług i zamieniło się w stablecoiny oraz Monero
Crédit Mutuel Arkéa, francuska grupa bankowości spółdzielczej z 5,8 mln członków i 211,5 mld euro aktywów, potwierdziła, że intruz dostał się do jej systemów przez platformę dostawcy usług i użył własnego rachunku firmowego banku, aby wysłać około 118 mln euro, czyli mniej więcej 133 mln dolarów, na rachunki w innych bankach. Bank ujawnił incydent 4 listopada 2026 roku i odmawia potwierdzenia kwoty.
Co bank potwierdził, a czego nie
W oświadczeniach cytowanych przez francuskie media oraz BleepingComputer Arkéa mówiła o wyrafinowanym ataku i stwierdziła, że intruz wszedł bezpośrednio przez platformę dostawcy usług. Bank jednoznacznie wykluczył Fortuneo, swój własny bank internetowy, jako punkt wejścia, i wykluczył błąd ludzki ze strony pracowników. Podkreślił, że przelewy wychodziły z rachunku samej Arkéi, a nie z rachunków klientów, i że aktywa klientów nie ucierpiały. Część przelewów się opóźniła, gdy bank prewencyjnie wstrzymał niektóre transakcje. Czego bank nie zrobił, to nie potwierdził kwoty. Zapytany o szacunek 133 mln dolarów powiedział BleepingComputer, że nie potwierdza tej informacji i może potwierdzić jedynie rząd wielkości. Warto tę ostrożność zapamiętać: kwota jest rekonstrukcją śledczego na podstawie danych on-chain, a nie liczbą zatwierdzoną przez poszkodowanego. „Nie potwierdzamy tej informacji i możemy potwierdzić jedynie rząd wielkości”. Crédit Mutuel Arkéa, cytowany przez BleepingComputer
Jak przelew bankowy staje się stablecoinem
Mechanika opisana dotąd jest mało efektowna. Według ustaleń Grégory'ego Raymonda i innych, streszczonych przez ZATAZ, oszukańcze przelewy rozciągały się na kilka dni, a nie na jedną serię, a nazwy beneficjentów widoczne na przelewach dobierano tak, by zgadzały się z nazwami rachunków odbiorczych. Stamtąd pieniądze zostały wypłacone w USDC i USDT, dwóch największych stablecoinach opartych na dolarze, na rachunki w scentralizowanych giełdach. IT for Business, powołując się na firmę analityczną Bitquery, podaje, że w ciągu około 20 godzin 1 i 2 listopada z rachunków na Kraken, Crypto.com i OKX wypłynęło 108,8 mln dolarów w USDC, rozdzielonych na 15 osobnych portfeli. Dlaczego rachunek na giełdzie jest wąskim gardłem
To jest ta część historii, przy której warto się zatrzymać. Przelew bankowy można wycofać, zakwestionować i odwrócić w łańcuchu korespondentów; przelewu stablecoina nie. Ale stablecoin trzymany na regulowanej giełdzie też nie jest anonimowy, dlatego właśnie same rachunki były, jak się relacjonuje, problemem, który oszuści musieli rozwiązać w pierwszej kolejności. Relacje opisują je jako otwarte z wyprzedzeniem na sfałszowane tożsamości, wystarczająco wiarygodne, by przejść kontrole należytej staranności, a nazwy beneficjentów na przelewach dopasowano do nazwisk właścicieli rachunków, aby bank wysyłający je zaakceptował. IT for Business dodaje, że rachunki wyglądają na otwarte bezpośrednio na fałszywe tożsamości, a nie przejęte od prawdziwych klientów, oraz że jedenaście z 15 portfeli docelowych otrzymywało wcześniej środki z tych samych giełd, w niektórych przypadkach wiele miesięcy wcześniej. Jeśli to się potwierdzi, opisuje przygotowanie, a nie improwizację: rachunki giełdowe i infrastruktura portfeli gotowe, zanim pierwszy przelew opuścił bank. Dwadzieścia siedem tysięcy etheru, potem Monero
W nocy z 1 na 2 listopada około 63 mln dolarów w stablecoinach zamieniono na 27 553 ETH przez UniswapX, zdecentralizowany protokół wymiany. Wybór jest praktyczny. Emitenci stablecoinów mogą zamrozić salda na poziomie kontraktu, gdy zostaną o to poproszeni; ether nie ma emitenta, do którego można się zwrócić. Wymiana zajęła też mniej niż cztery godziny, według tych samych relacji, czyli szybciej niż postanowienie sądu. Resztę rozdzielono między adresy, przenoszono między łańcuchami przez mosty i przepuszczono przez usługi natychmiastowej wymiany nazwane w relacjach WellWallet i Kyrrex, zanim część zamieniono na Monero przez usługę o nazwie Wagyu. Monero domyślnie ukrywa nadawcę, odbiorcę i kwotę, więc ślad faktycznie urywa się na tej granicy. To dziś standardowy stan końcowy dużych kradzieży kryptowalut i dlatego godziny zaraz po kradzieży znaczą więcej niż tygodnie po niej. Jak zamrożenie wygląda w praktyce
Kraken poinformował, że ograniczył powiązane rachunki w nocy z poniedziałku 2 na wtorek 3 listopada i że jego własne systemy nie zostały naruszone. Crypto.com podał, że zablokował powiązane środki, a OKX wciąż prowadził dochodzenie w chwili publikacji relacji. ZachXBT argumentował, że wolne powiadomienie giełd i organów pozwoliło wyprać ponad 30 mln dolarów, które inaczej udałoby się przechwycić na czas. Zamrożenie nie jest odzyskaniem. To blokada salda, dopóki trwa spór o własność, a zwolnienie zależy od postępowania prawnego, warunków samej giełdy i wykazania, do którego roszczącego należą monety. Bank stwierdził, że incydent jest już zamknięty i opanowany, co opisuje jego własne powstrzymanie szkody, a nie los pieniędzy. Czego akta nie ustalają
Nie zgłoszono żadnych zatrzymań. Ani intruzi, ani dostawca usług nie zostali publicznie zidentyfikowani, a bank nie podał żadnych szczegółów technicznych dotyczących wykorzystania platformy. Atrybucja pozostaje otwarta: ZachXBT oświadczył, że jest bardzo pewien, iż nie chodzi o grupę Lazarus, podczas gdy inny, wyraźnie nieudowodniony wątek wskazuje na sieci frankofońskie historycznie kojarzone z oszustwami „na prezydenta”. Numerama zauważa, że sama metoda pozostaje nieznana. Punkt wejścia to najmniej satysfakcjonująca część historii. Intruz wewnątrz platformy dostawcy to opis łańcucha dostaw, który rodzi pytanie stawiane przy każdej zleconej funkcji bankowej: jakie poświadczenia miał dostawca i czy bank widział, że są używane. Arkéa twierdzi, że współpracuje z organami sądowymi. Z opublikowanych dotąd dowodów wynikają przelewy, przewalutowania i zamrożenia; sam atak nie. Dla pokrewnego spojrzenia na to, jak analiza transakcji jest sprawdzana na sali sądowej, a nie we wpisie na blogu, zobacz naszą relację z procesu Bitcoin Fog.
