ZachXBT behauptete, eine westeuropäische Institution habe einen Hackerangriff in Höhe von 133 Millionen Dollar vertuscht

Am Montag wusste noch niemand, wer das Geld verloren hatte. Am Mittwochmorgen hatte das Opfer einen Namen, eine Stellungnahme und eine Menge Fragen zu beantworten.

Es begann am 2. November, als ZachXBT eine Warnung in seinem Telegram-Kanal veröffentlichte. Eine namentlich nicht genannte EU-Einrichtung, so sagte er, habe am Vortag mehr als 106 Millionen US-Dollar von mehreren Konten bei zentralisierten Börsen verloren. Der Angreifer zog alles als USDC und USDT ab, begann dann mit dem Umtausch in ETH, wechselte dabei zwischen verschiedenen Sofortbörsen hin und her und wandelte einen Teil davon in Monero um. Er veröffentlichte 11 Adressen. DEGEN NEWS hatte die Warnmeldung innerhalb weniger Stunden auf X veröffentlicht, und auch Wu Blockchain gab sie weiter.

Einen Tag später belief sich die Summe auf 133 Mio. $. ZachXBT hatte weitere 27 Mio. $ an Auszahlungen von Börsen entdeckt, von denen einige nach seinem ersten Beitrag getätigt worden waren. Seine Arbeitshypothese lautete, dass ein großes Finanzinstitut in Westeuropa ausgenutzt worden sei und dass dies „derzeit vertuscht werde“. Was ihn am meisten ärgerte, war der Zeitpunkt. Seinen Angaben zufolge wurden mehr als 30 Mio. $ gewaschen, die die EU-Strafverfolgungsbehörden hätten einfrieren können, wenn der Vorfall ordnungsgemäß gemeldet worden wäre.

Am späten Abend des 3. November nannte er das Institut: Crédit Mutuel Arkéa, eine französische Genossenschaftsbank mit einem Vermögen von rund 211,5 Mrd. Euro und mehr als 5,6 Mio. Kunden. Er sagte, der Angriff habe sich über mehrere Tage erstreckt. „Ich vermute, dass der gestohlene Betrag unter Berücksichtigung der OTC-Aktivitäten noch höher ist“, fügte er hinzu.

Die Antwort der Bank

Der Teil der Geschichte, in dem es hieß, die Bank würde den Vorfall „immer noch vertuschen“, hielt nicht lange an. Am 4. November teilte Arkéa französischen Medien, darunter Cryptoast und France Télévisions, mit, dass sie einen Angriff erlitten habe, der betrügerische Transaktionen ermöglicht habe. Die Bank erklärte, der Vorfall sei nun unter Kontrolle, den Kunden drohten keine finanziellen Folgen und einige Transaktionen seien vorübergehend ausgesetzt worden. Sie nannte weder eine Schadenssumme noch gab sie eine Erklärung dafür ab, wie die Angreifer in das System eingedrungen waren.

Die Bank räumte also innerhalb eines Tages nach Bekanntwerden des Vorfalls ein, dass es zu einem Zwischenfall gekommen war. Ob sie die EU-Behörden informierte, bevor das Geld transferiert wurde, ist eine andere Frage, und ich habe bisher nichts gesehen, was diese Frage in die eine oder andere Richtung beantwortet.

Vielleicht wurde gar keine Kryptowährung gestohlen

Hier wird es seltsam. Laut Cryptoast berichtete der Journalist Grégory Raymond, dass das Geld die Bank möglicherweise als reines Fiat-Geld verlassen habe und erst danach – als Teil des Geldwäscheschritts – in Kryptowährung umgewandelt worden sei. Seine Quelle beschrieb ein organisiertes Netzwerk von „Mule“-Konten. Französische Berichte brachten den Betrug mit Fortuneo, der Online-Bank von Arkéa, in Verbindung. Eine Quelle brachte zwei Erklärungen ins Spiel: eine Kompromittierung der Zahlungssysteme von Fortuneo oder ein Social-Engineering-Angriff im Stil eines CEO-Betrugs. Ein anderer Bericht besagt, dass die Gelder auf Börsenkonten flossen, die mit gefälschten Identitäten eröffnet wurden, die die KYC-Prüfung umgangen hatten. Die Auswertung der On-Chain-Daten durch Bitquery deutet darauf hin, dass der Angreifer die Zugangsdaten zu den Börsenkonten kontrollierte. Nichts davon ist bestätigt, und die Berichte passen nicht ganz zusammen.

Auch die Höhe des Betrags ist noch unklar. 133 Mio. US-Dollar entsprechen etwa 118 Mio. Euro. In einigen französischen Medienberichten ist von „mehr als 100 Mio. Euro“ die Rede. ZachXBT geht davon aus, dass die tatsächliche Gesamtsumme höher liegt.

Was die Blockchain zeigt

Bitquery verfolgte, wie innerhalb von etwa 21 Stunden 108,8 Mio. USD in USDC von Konten bei Kraken, Crypto.com und OKX abflossen. In einem Zeitfenster von vier Stunden wurden etwa 62,98 Mio. USD in Stablecoins in 27.553 ETH umgewandelt. Am 2. November um 13:47 Uhr UTC befanden sich noch etwa 78,3 Mio. US-Dollar in mit den Angreifern in Verbindung stehenden Wallets, 30,5 Mio. US-Dollar hatten die nachverfolgten Adressen bereits verlassen, und nur 3,74 Mio. US-Dollar waren USDC, die Circle einfrieren konnte.

Kraken gibt an, Konten im Zusammenhang mit dem Vorfall gesperrt zu haben. Crypto.com teilt mit, dass es die betreffenden Gelder blockiert habe. Beide betonen, dass ihre eigenen Plattformen nicht kompromittiert worden seien. OKX prüfe Berichten zufolge die Vorwürfe.

Beide Aussagen mögen durchaus zutreffen. Dennoch sind 21 Stunden eine lange Zeit, in der über 100 Mio. US-Dollar von Konten bei drei großen Anbietern abfließen konnten, die alle über Compliance-Teams verfügen.

ZachXBT sagt zudem mit „hoher Sicherheit“, dass es sich hierbei nicht um Lazarus handelt. Der Geldwäschereipfad ist anders: Er umfasst Sofortumtausch, Wagyu für die Umwandlung in Monero und zahlreiche Kettenwechsel. Der Zeitpunkt macht die Sache auffällig: Der Vorfall ereignete sich nur wenige Tage nach dem Binance-Hack, bei dem rund 6,4 Mrd. US-Dollar erbeutet wurden und den das FBI der nordkoreanischen Gruppe „TraderTraitor“ zuschrieb. Dieser Fall ist kleiner und chaotischer, und niemand kennt den Namen des Angreifers.

Was noch offen ist

Die Summe, die Vorgehensweise und die Identität des Angreifers sind allesamt unbestätigt. Arkéa gibt an, dass der normale Betrieb wieder aufgenommen wird, sobald die abschließenden Sicherheitsüberprüfungen abgeschlossen sind. Ob ein Teil der verbleibenden Gelder zurückgewonnen werden kann, hängt davon ab, wie viel noch in diesen Wallets vorhanden ist – und dieser Betrag änderte sich rasant.