Franse bank Crédit Mutuel gehackt: $133 miljoen aan crypto gestolen

De Franse bank Crédit Mutuel Arkéa heeft bevestigd dat zij slachtoffer is geworden van een cyberaanval waarbij frauduleuze transacties zijn uitgevoerd. Volgens blockchainonderzoeker ZachXBT is bij het incident voor meer dan 133 miljoen dollar aan cryptovaluta verdwenen.

De bank bevestigt de aanval, maar heeft nog niet bekendgemaakt hoeveel geld daadwerkelijk is buitgemaakt.

De onthulling komt nadat ZachXBT eerder deze week alarm sloeg over een grootschalige diefstal bij een nog onbekende Europese financiële instelling. Inmiddels heeft hij de Franse bank als vermoedelijk slachtoffer aangewezen.

Franse bank bevestigt aanval, klanten zijn beschermd

Crédit Mutuel Arkéa bevestigde woensdag tegenover CoinDesk dat de aanval frauduleuze transacties mogelijk heeft gemaakt. Volgens de bank is de situatie inmiddels onder controle.

Een woordvoerder benadrukt dat klanten geen financiële gevolgen ondervinden en dat hun belangen volledig beschermd zijn.

Om verdere schade te voorkomen, heeft de bank tijdelijk bepaalde transacties stilgelegd. Ook zijn de bevoegde autoriteiten ingelicht. Het onderzoek naar de gevolgen van de aanval loopt nog.

Hoeveel geld precies is verdwenen, blijft onduidelijk. De bank heeft niet bekendgemaakt of de getroffen tegoeden oorspronkelijk uit traditionele valuta of crypto bestonden.

De Franse bankgroep beheert meer dan 250 miljard dollar aan vermogen en bereidt zich al langer voor op een grotere rol in de cryptosector. In mei werd bekend dat Crédit Mutuel Arkéa een vergunning had aangevraagd onder de Europese MiCA-regels om cryptodiensten aan particulieren en financiële instellingen te kunnen aanbieden.

Onderzoekers volgen spoor van ruim 133 miljoen dollar

De eerste aanwijzingen voor de diefstal kwamen maandag naar buiten. ZachXBT meldde toen dat bij een Europese financiële instelling meer dan 106 miljoen dollar aan cryptomunten was verdwenen.

Een dag later ontdekte hij nog eens 27 miljoen dollar aan verdachte opnames bij cryptobeurzen. Daarmee liep zijn schatting op tot meer dan 133 miljoen dollar.

Volgens de onderzoeker kan de werkelijke schade zelfs hoger uitvallen. Mogelijk zijn er ook transacties uitgevoerd buiten de reguliere cryptobeurzen om, die nog niet in zijn berekeningen zijn meegenomen.

Blockchainanalysebedrijf Bitquery heeft een deel van de geldstromen afzonderlijk onderzocht. Daaruit blijkt dat op 1 en 2 november binnen ongeveer 21 uur voor 108,8 miljoen dollar aan USDC werd opgenomen via accounts bij Kraken, Crypto.com en OKX.

Vervolgens werd het geld verspreid over honderden digitale portemonnees. Een groot deel werd snel omgewisseld voor Ethereum (ETH).

Alleen al binnen vier uur werd ongeveer 63 miljoen dollar aan stablecoins omgezet in 27.553 ETH. Dat maakt het lastiger om het geld te blokkeren. De uitgever van USDC kan verdachte tegoeden namelijk bevriezen, terwijl dat bij Ethereum niet op dezelfde manier mogelijk is.

Cryptobeurzen grijpen in na verdachte transacties

Ook cryptobeurzen zijn betrokken bij het onderzoek naar de gestolen tegoeden. Crypto.com bevestigt dat het geld heeft geblokkeerd dat in verband wordt gebracht met de aanval. Volgens de beurs zijn de tegoeden van klanten veilig en blijven die gewoon toegankelijk.

Blockchainanalysebedrijf Bitquery ontdekte daarnaast dat 396 Ethereum (ETH) naar een adres van Kraken is verstuurd. Of Kraken dit geld heeft bevroren en wie achter de ontvangende rekening zit, is nog onduidelijk. Er zijn geen aanwijzingen dat de cryptobeurzen zelf zijn gehackt.

De zaak volgt op een reeks grote aanvallen in de cryptosector, waaronder de recente hack bij Binance waarbij 6,3 miljard dollar werd buitgemaakt. De FBI houdt Noord-Koreaanse hackers verantwoordelijk voor die aanval.

Bij de Franse bank lijkt Noord-Korea volgens onderzoeker ZachXBT juist niet betrokken. Hij wijst op duidelijke verschillen in de manier waarop het gestolen geld is verplaatst. Die komt niet overeen met de bekende werkwijze van de Noord-Koreaanse hackersgroep Lazarus.

Wie wel achter de aanval zit en hoe de daders toegang kregen tot het geld, is nog niet bekend.