Французский банк Crédit Mutuel Arkéa подтвердил кибератаку: порядок потерь — около $133 млн

Французская банковская группа Crédit Mutuel Arkéa 4 ноября подтвердила, что стала жертвой кибератаки. Именно этот банк блокчейн-расследователь ZachXBT назвал пострадавшей стороной в истории с кражей более чем $133 млн, которую он отслеживал с начала недели. До этого речь шла о неназванной европейской организации, а сама версия о финансовом институте оставалась предположением.

Точную сумму банк не называет. На прямой вопрос о том, украдены ли 118 млн евро (133 млн долларов), в его разъяснении сказано: «мы не подтверждаем эти сведения и можем лишь подтвердить порядок величины». Окончательную цифру, по словам группы, сообщать пока рано, но на её финансовую устойчивость потери не повлияют.

Что рассказал банк

В группе опубликовали два документа: пресс-релиз и список вопросов и ответов. Главное из них:

• Как прошла атака. Злоумышленники проникли через платформу одного из подрядчиков банка (его название не раскрывается) и получили прямой доступ к Crédit Mutuel Arkéa. Версию о взломе через дочерний онлайн-банк Fortuneo группа опровергла.
• Откуда ушли деньги. Использовался собственный счёт банка: с него шли переводы в другие банковские организации, а затем деньги, вероятно, конвертировались в криптовалюту на специализированных платформах. Счета клиентов, как утверждает группа, не затронуты.
• Последствия для клиентов. На средствах клиентов инцидент, по заявлению банка, не сказался, но часть переводов выполнялась с задержкой. Почти все операции возобновились утром 4 ноября.
• Причина. Человеческую ошибку банк отрицает и называет случившееся сложной внешней атакой, которая теперь локализована.
• Возврат средств. Часть денег удалось заблокировать, сколько именно, не уточняется. Банк работает с судебными и полицейскими органами и уведомил надзорные инстанции.

Отдельно группа предупредила клиентов: после таких атак обычно становится больше фишинга. Сведений о том, что данные клиентов утекли, в документах нет.

Как двигались деньги

ZachXBT сообщил о пропаже более $106 млн в USDC и USDT 2 ноября, а на следующий день добавил ещё около $27 млн. Первые транзакции, по данным Decrypt, прошли 1 ноября. Средства выводились с аккаунтов на Kraken, Crypto.com и OKX. По подсчётам компании Bitquery на 2 ноября, которые приводит Cointelegraph, $62,98 млн в стейблкоинах примерно за четыре часа превратились в 27 553 ETH.

Такая скорость сильно сузила возможности заморозки: к тому моменту, как следует из тех же данных, под возможной блокировкой Circle оставалось лишь $3,74 млн в USDC, а Tether заморозила $1,1 млн в USDT. Дальше, как пишет The Block со ссылкой на ZachXBT, средства шли через сервисы мгновенного обмена WellWallet и Kyrrex, частично конвертировались в Monero через Wagyu и перемещались между сетями. Kraken сообщил об ограничении связанных аккаунтов и о работе с правоохранителями, Crypto.com заявил о блокировке средств, связанных с инцидентом. Kyrrex не стал комментировать отдельные транзакции и заявил о готовности сотрудничать с властями.

Что остаётся неизвестным

Окончательный размер ущерба не назван. ZachXBT считает, что сумма может оказаться больше, поскольку атака длилась несколько дней и могла включать внебиржевые сделки. Личность преступников не установлена: расследователь с высокой уверенностью исключает причастность северокорейской Lazarus Group, ссылаясь на характер отмывания, но это его оценка, а не вывод следствия.

Открытым остаётся и вопрос о раскрытии. ZachXBT утверждает, что из-за отсутствия своевременного сообщения об инциденте было отмыто более $30 млн, которые правоохранители могли бы заморозить. Банк эти обвинения в опубликованных документах прямо не обсуждает, независимого подтверждения им пока нет. По данным французских СМИ, на которые ссылается Decrypt, в мае группа подавала заявку на лицензию MiCA для оказания криптоуслуг розничным клиентам.