Z francuskiego banku Crédit Mutuel Arkéa mogło zniknąć ponad 133 mln dolarów w wyniku kradzieży powiązanej z kontami na giełdach kryptowalut. Informację o możliwej skali strat podał analityk blockchainowy ZachXBT. Bank potwierdził, że doszło do nieautoryzowanych transakcji, ale nie ujawnił, jaka kwota została utracona.
Środki wypłacano z giełd
ZachXBT poinformował o sprawie w serwisie Telegram. Początkowo szacował straty na ponad 106 mln dolarów, a później doliczył kolejne 27 mln dolarów w wypłatach z giełd. Zaznaczył, że łączna wartość może być większa, jeśli uwzględnić transakcje pozagiełdowe.
Firma analityczna Bitquery prześledziła wypłaty 108,8 mln dolarów w stablecoinie USDC z kont na platformach Kraken, Crypto.com i OKX. Transakcje miały miejsce 1 i 2 listopada, w ciągu około 21 godzin. Później środki przepływały przez setki adresów, a znaczną ich część zamieniono na ether.
Taka konwersja może utrudnić odzyskanie pieniędzy: ethera nie da się zamrozić za pomocą centralnego emitenta, jak w przypadku niektórych stablecoinów. Bitquery zidentyfikowało również transfer 396 ETH na adres depozytowy Krakena, ale nie ustaliło, kto kontrolował konto odbiorcy ani czy środki zostały zablokowane.
Sprawa pokazuje, jak trudne może być odzyskanie środków po ich rozproszeniu między wieloma adresami. Ważne jest też szybkie reagowanie giełd, które mogą zablokować aktywa przechodzące przez ich platformy. Na razie bank nie ujawnił, jaka kwota faktycznie została utracona.
Przeczytaj także: Francuski gigant bankowy BPCE uruchomi handel kryptowalutami dla 2 milionów klientów detalicznych.
Bank zapewnia o ochronie klientów
Crédit Mutuel Arkéa potwierdził, że doszło do oszukańczych transakcji, i przekazał, że sytuacja jest już pod kontrolą. Bank nie podał jednak wartości strat ani nie wyjaśnił, czy skradzione środki były wcześniej przechowywane jako tradycyjna waluta, czy kryptowaluty.
Według przedstawiciela instytucji interesy klientów są w pełni zabezpieczone, a incydent nie powinien mieć dla nich konsekwencji finansowych. Bank czasowo wstrzymał część transakcji, by ograniczyć ryzyko dalszych strat, i powiadomił odpowiednie organy. Skutki ataku są nadal analizowane.
Crypto.com potwierdziło, że podjęło działania w związku ze sprawą i zablokowało środki powiązane z incydentem, które przechodziły przez platformę. Giełda dodała, że fundusze klientów pozostają bezpieczne i dostępne. Kraken i OKX nie przekazały od razu komentarza.
Nieustalony sposób włamania
Nie wiadomo, w jaki sposób sprawca uzyskał dostęp do kont giełdowych. ZachXBT ocenił jednak, że z dużą pewnością za kradzieżą nie stoi północnokoreańska grupa Lazarus. Wskazał na różnice w sposobie przemieszczania skradzionych środków w porównaniu z wcześniejszymi operacjami przypisywanymi tej grupie.
Incydent ma miejsce w czasie, gdy Crédit Mutuel Arkéa przygotowuje się do wejścia na rynek kryptowalut. W maju media informowały, że bank ubiegał się o licencję w ramach unijnych przepisów MiCA, która pozwoliłaby mu oferować usługi związane z aktywami cyfrowymi klientom detalicznym i instytucjom finansowym.
No i mamy klasyk: „kontrola już jest” po tym jak zniknęło ponad 100 mln. Zawsze mnie bawi, że przy takich kwotach bank mówi o bezpieczeństwie klientów, a detal jest jak zwykle zakopany gdzieś w footnote. Ciekawe czy to był zwykły compromise API, czy ktoś po prostu wyciągnął dostęp z operacyjnego konta. Bez tego to tylko zgadywanie.
Jeśli środki szły z kilku giełd i potem były rozbijane na setki adresów, to odzysk praktycznie zależy od czasu reakcji i tego, czy ktoś zdążył je zamrozić na off-rampie. Zamiana na ETH rzeczywiście komplikuje sprawę, bo nie ma centralnego emitenta jak w przypadku USDC. Banki dalej myślą w modelu „jak coś się stanie, to zatrzymamy przelew”, a tu finality jest dużo szybsze niż w tradycyjnym systemie.
Mam wrażenie, że artykuł trochę miesza dwie rzeczy: kradzież z banku i przepływ przez giełdy. Jeśli to były konta na Krakenie/OKX/Crypto.com, to bardziej wygląda na kompromitację infrastruktury dostępowej niż na „wyciek z blockchaina”. Samo on-chain nie zostało przecież złamane, tylko ktoś przejął możliwość zlecania wypłat. To ważna różnica, bo potem ludzie znowu piszą, że „krypto jest dziurawe”.
Szczerze, dziwi mnie że instytucja z zapleczem compliance wchodzi w rynek krypto i jednocześnie ma taki bałagan przy zabezpieczeniu kluczy / dostępów. Przy MiCA wszyscy będą robić prezentacje o „bezpiecznej ekspozycji na aktywa cyfrowe”, a w praktyce często kończy się to cyber-higieną z lat 2010. Jeśli to faktycznie ich operacyjne konto, to pytanie brzmi: kto miał uprawnienia i czy było MFA, czy tylko hasło + modlitwa.
Nie kupuję tej narracji, że „klienci są w pełni zabezpieczeni” i temat zamknięty. Bank może i zwróci środki, ale reputacyjnie to jest wtopa na lata. Do tego dochodzi pytanie, czy sami nie mieli styku z giełdami przez pośredników i czy wszystko było zgodne z procedurami AML. Takie incydenty zwykle wychodzą dopiero przy kontroli, a nie w komunikacie prasowym.
Miałem kiedyś podobny problem w mniejszej skali, nie na banku tylko na kontach firmowych u brokera i powiem tak: jak już ktoś ma dostęp do wypłat, to logi pomagają głównie po fakcie. Potem jest bieganie między supportem, giełdą i policją, a każdy mówi, że „analizuje sytuację”. Tu pewnie skończy się na tym samym, tylko z dużo większym PR-em.
Trochę to wygląda jak test przed wejściem w MiCA i niekoniecznie wypadł dobrze. Banki lubią kryptowaluty dopóki są slajdy, piloci i hasła o innowacji, a potem pierwszy realny incydent i robi się nerwowo. Jeśli mieli taką ekspozycję na konta giełdowe, to pytanie czy to był w ogóle przypadek czy po prostu źle zaprojektowany proces operacyjny.