Пограбування Crédit Mutuel Arkéa: як 133 мільйони доларів пішли через постачальника послуг і перетворилися на стейблкоїни та Monero
Французька кооперативна банківська група Crédit Mutuel Arkéa з 5,8 мільйона учасників і активами в 211,5 мільярда євро підтвердила, що зловмисник отримав доступ до її систем через платформу постачальника послуг і використав власний корпоративний рахунок банку, щоб надіслати близько 118 мільйонів євро, приблизно 133 мільйони доларів, на рахунки в інших банках. Банк розкрив інцидент 4 листопада 2026 року і відмовляється підтверджувати суму.
Що банк підтвердив, а що ні
У заявах, які цитували французькі видання та BleepingComputer, Arkéa назвала атаку витонченою і заявила, що зловмисник увійшов безпосередньо через платформу постачальника послуг. Банк прямо виключив Fortuneo, власний онлайн-банк, як точку входу, а також виключив людську помилку з боку співробітників. Він зазначив, що перекази йшли з рахунку самої Arkéa, а не з рахунків клієнтів, і що активи клієнтів не постраждали. Частина переказів затрималася, поки банк із запобіжних міркувань призупинив окремі операції. Чого банк не зробив — не підтвердив суму. На запитання про оцінку в 133 мільйони доларів він відповів BleepingComputer, що не підтверджує цю інформацію і може підтвердити лише порядок величини. Цю обмовку варто мати на увазі: сума є реконструкцією дослідника за даними блокчейну, а не цифрою, схваленою постраждалою стороною. «Ми не підтверджуємо цю інформацію і можемо підтвердити лише порядок величини». Crédit Mutuel Arkéa у цитуванні BleepingComputer
Як банківський переказ стає стейблкоїном
Механіка, про яку повідомлялося досі, не вирізняється ефектністю. За розслідуваннями Грегорі Раймона та інших, узагальненими ZATAZ, шахрайські перекази тривали кілька днів, а не однією хвилею, а імена одержувачів у переказах добирали так, щоб вони збігалися з іменами власників рахунків отримувачів. Звідти гроші знімали в USDC і USDT, двох найбільших стейблкоїнах, номінованих у доларах, на рахунки централізованих бірж. IT for Business з посиланням на блокчейн-аналітиків Bitquery повідомляє, що 108,8 мільйона доларів у USDC пішли з рахунків на Kraken, Crypto.com і OKX приблизно за 20 годин 1 і 2 листопада, розподілившись на 15 окремих гаманців. Чому біржовий рахунок — це вузьке місце
Саме на цій частині історії варто зупинитися. Банківський переказ можна відкликати, оспорити й розвернути ланцюгом кореспондентських відносин; переказ стейблкоїнів — ні. Але стейблкоїн на регульованій біржі теж не анонімний, і саме тому самі рахунки, за повідомленнями, були тією проблемою, яку шахраям довелося вирішити першою. У повідомленнях їх описують як відкриті заздалегідь за підробленими документами, достатньо переконливими, щоб пройти перевірку клієнта, причому імена одержувачів у переказах підганяли під імена власників рахунків, аби банк-відправник їх прийняв. IT for Business додає, що рахунки, схоже, відкривали безпосередньо за підробленими особами, а не захоплювали в реальних клієнтів, і що одинадцять із 15 гаманців-отримувачів раніше вже отримували кошти з тих самих бірж, подеколи за місяці до того. Якщо це підтвердиться, йдеться про підготовку, а не про імпровізацію: біржові рахунки й інфраструктура гаманців були готові до того, як із банку пішов перший переказ. Двадцять сім тисяч ефіру, потім Monero
У ніч з 1 на 2 листопада близько 63 мільйонів доларів у стейблкоїнах обміняли на 27 553 ETH через UniswapX, протокол децентралізованого обміну. Вибір практичний. Емітенти стейблкоїнів можуть заморозити баланси на рівні контракту, якщо їх про це попросити; в ефіру немає емітента, до якого можна звернутися. Обмін, за тими самими повідомленнями, завершився менш ніж за чотири години — швидше, ніж судове розпорядження. Решту розділили між адресами, перемістили між блокчейнами через мости й прогнали через сервіси миттєвого обміну, названі в повідомленнях як WellWallet і Kyrrex, після чого частину конвертували в Monero через сервіс під назвою Wagyu. Monero за замовчуванням приховує відправника, отримувача й суму, тож слід фактично обривається на цій межі. Це нині стандартний фінал великих криптокрадіжок, і саме тому години одразу після крадіжки важать більше, ніж тижні після неї. Як замороження виглядає на практиці
Kraken заявила, що обмежила пов'язані рахунки в ніч із понеділка 2 на вівторок 3 листопада і що її власні системи не були скомпрометовані. Crypto.com повідомила, що заблокувала пов'язані кошти, а OKX на момент публікації повідомлень ще вела розслідування. ZachXBT стверджує, що повільне інформування бірж і влади дозволило відмити понад 30 мільйонів доларів, які інакше можна було б перехопити вчасно. Замороження — це не повернення. Це блокування балансу, поки триває спір про власність, і його зняття залежить від судової процедури, умов самої біржі та доведення, кому саме належать монети. Банк заявив, що інцидент тепер закрито і він під контролем, — це описує локалізацію всередині банку, а не долю грошей. Чого матеріали справи не встановлюють
Про арешти не повідомлялося. Ні зловмисники, ні постачальник послуг публічно не ідентифіковані, і банк не надав технічних деталей про те, як використовувалася платформа. Атрибуція відкрита: ZachXBT заявив, що з високою впевненістю виключає групу Lazarus, тоді як інша, прямо недоведена лінія повідомлень вказує на франкомовні мережі, історично пов'язані зі схемами «шахрайства президента». Numerama зауважує, що сам метод лишається невідомим. Точка входу — найменш задовільна частина історії. Зловмисник усередині платформи постачальника — це опис ланцюга постачання, і він порушує питання, яке виникає за будь-якої переданої на аутсорсинг банківської функції: які облікові дані мав постачальник і чи міг банк бачити, що їх використовують. Arkéa заявляє про співпрацю із судовими органами. Судячи з опублікованих доказів, перекази, конвертації та замороження задокументовані; проникнення — ні. Про те, як аналіз транзакцій перевіряють у суді, а не в дописі блогу, дивіться наш матеріал про процес над Bitcoin Fog.
