Attacco hacker al Crédit Mutuel Arkéa: recuperata una parte dei fondi, dice il capo del Crédit Mutuel; per Bitquery il 5 novembre erano ancora 37 milioni di dollari su Ethereum

Una parte del denaro sottratto nell’attacco hacker al Crédit Mutuel Arkéa è stata recuperata. Lo ha detto Daniel Baal, presidente della Confédération nationale du Crédit Mutuel, a France 5 venerdì 6 novembre, secondo l’AFP, due giorni dopo che blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il gruppo con sede a Brest, da cui dipendono Fortuneo e Keytrade Bank, aveva reso nota l’aggressione. Non ha indicato quanto sia rientrato. Ha invece stimato la somma rubata in oltre 100 milioni di euro.

Arkéa spiega che gli aggressori hanno disposto bonifici dal suo conto verso altre banche, un percorso che può aver permesso di trasformare il denaro in crypto. Sul fronte della blockchain, la società di analisi Bitquery conta 126,04 milioni di dollari in USDC usciti da Kraken, Crypto.com e OKX il 1° e il 2 novembre, e dice che alle 08:47 UTC del 5 novembre ne restavano 37,26 milioni su Ethereum, in indirizzi che attribuisce al ladro. Bitquery indica Arkéa come vittima; la banca, dal canto suo, non ha collegato la propria perdita a quei wallet. Nessuno ha rivendicato l’attacco e nessuno è stato identificato.

Per i clienti la linea della banca non è cambiata da mercoledì. Nessun conto di clienti è stato usato, i risparmi non sono toccati e alcuni bonifici sono stati semplicemente eseguiti in ritardo. Mancano ancora la perdita finale, la somma recuperata, il nome del fornitore la cui piattaforma è servita da porta d’ingresso e il modo in cui gli euro sono arrivati sui conti degli exchange.

Attacco hacker al Crédit Mutuel Arkéa: che cosa ha confermato la banca

Arkéa ha diffuso un primo comunicato alle 13:00 ora di Parigi del 4 novembre, poi, nella stessa giornata, un aggiornamento che risponde alle domande ricevute. Il primo comunicato diceva che l’attacco aveva reso possibili operazioni fraudolente, che l’incidente era sotto controllo e che il gruppo aveva informato «gli organismi competenti e di vigilanza» non appena rilevato (traduzione nostra). Alcune operazioni sono state sospese per precauzione.

L’aggiornamento descrive il metodo. Gli aggressori sono passati dalla piattaforma di uno dei fornitori di servizi del gruppo. Hanno poi usato il conto di Arkéa stessa, non i conti dei clienti delle sue federazioni o controllate, per inviare bonifici ad altre banche, il che può aver consentito di convertire il denaro in crypto su piattaforme specializzate. Il gruppo esclude l’errore umano e parla di un attacco sofisticato dall’esterno. Il fornitore non è nominato.

Sull’importo la banca resta prudente. Le Télégramme ha riportato 133 milioni di dollari (118 milioni di euro); Arkéa non conferma la cifra e dice soltanto di poter «validare l’ordine di grandezza» (traduzione nostra). La sua stima provvisoria, riferita dall’AFP la sera del 4 novembre, è di circa 100 milioni di euro. Una parte dei fondi è stata bloccata e sono in corso altre azioni di recupero. È troppo presto per un importo definitivo, precisa la banca, e le somme non minacciano la solidità né la salute finanziaria del gruppo.

La sezione cybercriminalità della procura di Parigi ha ricevuto una denuncia del gruppo mercoledì mattina e ha aperto subito un’indagine per attacco a un sistema di trattamento automatizzato di dati da parte di una banda organizzata, ha riferito l’AFP. Il fascicolo è stato affidato all’Office anticybercriminalité (OFAC), l’ufficio di polizia francese per il cybercrimine. Nonostante la sigla, non ha nulla a che fare con l’ufficio sanzioni del Tesoro americano.

Daniel Baal il 6 novembre: recuperata «una parte», origine ignota

Baal presiede la confederazione nazionale che riunisce le federazioni del Crédit Mutuel e, nota l’AFP, guida anche il Crédit Mutuel Alliance Fédérale. Arkéa, per sua stessa descrizione, è formata dalle federazioni Crédit Mutuel de Bretagne e Crédit Mutuel du Sud-Ouest, dalle loro casse locali e da una quarantina di controllate. A France 5 Baal ha detto che Arkéa aveva recuperato «una parte» del denaro e che l’importo rubato superava i 100 milioni di euro.

Alla domanda su chi ci fosse dietro, non ha saputo rispondere: «Su questo attacco non posso assolutamente dire se sia francese o straniero» (traduzione nostra). Ha definito l’attacco molto dannoso per la banca colpita, ma ha detto che non mina la credibilità del sistema bancario e che «deve servire da lezione» a un settore che, a suo dire, segue la vicenda con attenzione.

Baal ha ribadito che nessun conto di singoli clienti è stato toccato. Anche se lo fosse stato, ha detto, la banca avrebbe coperto le perdite, con la garanzia dei depositi come ulteriore tutela. Neppure le comunicazioni di Arkéa indicano una somma recuperata, quindi «una parte» è tutto ciò che per ora è pubblico.

Due tracciamenti, due totali: i 133 milioni di ZachXBT e i 126 di Bitquery

Il lato crypto è emerso prima che la banca parlasse. Il 2 novembre l’investigatore on-chain ZachXBT ha scritto sul suo canale Telegram che un’entità dell’UE sarebbe stata derubata di oltre 106 milioni di dollari da più conti di exchange centralizzati, prelevati in USDC e USDT. Ha descritto il ladro mentre scambiava «aggressivamente USDC con ETH», usava servizi di scambio istantaneo, passava da una blockchain all’altra tramite bridge e convertiva parte del denaro in Monero attraverso Wagyu.

Un giorno dopo ha alzato il conteggio a oltre 133 milioni di dollari, dopo aver trovato più di 27 milioni di prelievi aggiuntivi dagli exchange, alcuni avvenuti dopo il suo primo post. Ha attribuito la colpa al silenzio: «La mancata comunicazione adeguata dell’incidente ha fatto sì che oltre 30 milioni di dollari venissero riciclati», ha scritto, sostenendo che le forze dell’ordine europee avrebbero potuto congelarli (traduzione nostra). In un terzo post ha indicato l’istituto come, «presumibilmente», il Crédit Mutuel Arkéa, ha detto che l’attacco si è protratto per diversi giorni e che la perdita potrebbe essere maggiore una volta contate le operazioni over-the-counter. Le sue cifre sono analisi proprie e non sono state confermate né dalla banca né dalle autorità.

Bitquery lavora sui prelievi dagli exchange visibili su Ethereum. Una prima versione del suo lavoro, ripresa il 4 novembre da Bitcoin.com News e da IT-Connect, contava circa 108,8 milioni di dollari in USDC inviati a 15 wallet in circa 21 ore. La versione attuale della sua indagine, con cifre on-chain verificate il 5 novembre, è più ampia: 126,04 milioni di dollari in USDC da Kraken, Crypto.com e OKX verso 17 wallet, in circa 28 ore.

I due totali misurano cose diverse, quindi sommarli significherebbe contare due volte. ZachXBT conteggia i prelievi in USDC e USDT che attribuisce al ladro e ne attende altri dalle operazioni OTC. Bitquery conta i pagamenti in USDC che ha ricostruito da tre exchange indicati per nome. Nessuno dei due è il numero della banca, che resta «circa 100 milioni di euro» o, nelle parole di Baal, più di 100 milioni di euro.

Dove sono finiti i soldi in 28 ore

La cronologia di Bitquery comincia domenica 1° novembre. Il primo prelievo è uscito da OKX alle 12:25 UTC; Kraken è seguita 44 minuti dopo e ha finito per versare circa il 95% del totale. Il ritmo è salito in serata: 73,2 milioni di dollari sono usciti nelle tre ore fino alle 23:00 UTC e l’84% del denaro era già fuori alle 23:10 UTC. Lunedì Kraken ha pagato 17,2 milioni di dollari a due altri wallet tra le 15:46 e le 16:30 UTC, l’ultimo versamento trovato da Bitquery.

Le vendite sono cominciate quasi subito. Dalle 23:44 UTC circa di domenica alle 04:02 UTC di lunedì, un wallet ha venduto 62,98 milioni di dollari di USDC e USDT tramite UniswapX ottenendo 27.553 ETH, a circa 2.286 dollari per ether. Per dare un’idea della scala, l’ether valeva intorno a 2.239 dollari alle 12:54 UTC del 7 novembre. Un altro ramo ha convertito USDC in DAI. Parte del denaro precedente è passata da wallet di ordini che la società di analisi TRM etichetta come Wagyu, un servizio che scambia in Monero, dove la traccia si interrompe perché quella blockchain nasconde importi e indirizzi. Wagyu era finito sui giornali una settimana prima, quando aveva confermato una fuga dei registri dei suoi scambi in Monero.

Il 5 novembre gli indirizzi che Bitquery collega al ladro erano saliti a 526, dai 229 del 2 novembre. Alle 08:47 UTC di quel giorno erano ancora su Ethereum 37,26 milioni di dollari: 8.926 ETH, 12,27 milioni di DAI, 1,71 milioni di USDC e 1,68 milioni di USDT.

Un dettaglio fa pensare a una preparazione. Dodici dei 17 wallet riceventi avevano già ricevuto versamenti dagli stessi exchange prima del furto, due fin da maggio; il più vecchio aveva effettuato il primo prelievo da Kraken il 4 maggio. Bitquery ne conclude che un unico proprietario li gestisse con ogni probabilità tutti, una deduzione che è sua.

Il punto d’ingresso: la piattaforma di un fornitore o Fortuneo?

Il modo in cui gli euro sono arrivati agli exchange è il punto su cui le versioni divergono. Nella versione della banca, gli aggressori sono entrati dalla piattaforma di un fornitore di servizi e hanno spostato denaro dal conto di Arkéa stessa con bonifici verso altre banche. L’aggiornamento aggiunge che, contrariamente a quanto scritto dalla stampa, non c’è stato alcun ingresso tramite Fortuneo.

L’altra versione viene da Grégory Raymond, giornalista francese che si occupa di asset digitali. Secondo le sue informazioni, riprese il 4 novembre da Cryptoast e IT-Connect, i bonifici sarebbero partiti da Fortuneo verso conti presso exchange crypto aperti con identità false, abbastanza credibili da superare i controlli di identità (KYC). I nomi dei beneficiari corrispondevano a quelli degli intestatari, il che ha permesso ai bonifici di superare i controlli di corrispondenza dei nomi. IT-Connect aggiunge che Raymond ha parlato di una rete di prestanome e dei fondi propri di Fortuneo, non dei conti dei clienti, come bersaglio. Nel resoconto di Cryptoast, i conti sugli exchange sono stati creati dai truffatori, non sottratti a terzi.

Le due versioni non coprono esattamente lo stesso terreno: la banca parla di dove gli aggressori sono entrati e di quale conto sia stato addebitato, Raymond del percorso dei bonifici. Su Fortuneo, però, si contraddicono, e nessuna delle due parti ha pubblicato documenti. Raymond ha detto a franceinfo che il furto è «una prima» nel suo genere (traduzione nostra).

Perché Kraken e Crypto.com hanno potuto congelare, e perché quasi tutto il denaro ha continuato a muoversi

Kraken ha detto di aver limitato i conti collegati all’incidente e Crypto.com di aver bloccato i fondi associati, entrambe precisando che la propria sicurezza non è stata compromessa. Le dichiarazioni sono state rilasciate a Cointelegraph, come riferito da Cryptoast, e nessuna indica un importo. Coindaro non ha trovato dichiarazioni di OKX. Bitquery cita fonti di Raymond secondo cui Kraken avrebbe iniziato a congelare i fondi nella notte di lunedì, cosa che non ha confermato.

L’ordine degli eventi spiega i limiti. Finché le monete restano nel conto di un exchange, è l’exchange a detenerle e può bloccarle: è così che funzionano la custodia e il KYC di un exchange centralizzato. Una volta prelevate verso un wallet controllato dal ladro, l’exchange non ha più alcuna presa.

Da quel momento può intervenire solo l’emittente di una stablecoin. I contratti di USDT e USDC permettono a Tether e Circle di bloccare un indirizzo, uno dei punti pratici trattati nel nostro confronto tra USDT e USDC. Secondo Bitquery, Tether ha congelato 1,14 milioni di USDT alle 23:10 UTC del 2 novembre ma non altri 0,54 milioni, e Circle non ha congelato nessuno degli 1,71 milioni di USDC rimasti. Tether usa lo stesso potere altrove: a fine ottobre ha messo in lista nera 32 indirizzi su Tron. Ether e DAI non hanno un emittente in grado di congelare un saldo, e Monero lo nasconde.

Ecco perché le stablecoin sono state scambiate con ETH nel giro di poche ore dall’uscita dagli exchange. La contestazione di ZachXBT riguarda il tempo: prima si avvertono polizia e piattaforme, più si riesce a bloccare. Se la banca avrebbe potuto dare l’allarme prima dipende da quando ha notato i bonifici, cosa che non ha detto.

Che cosa devono sapere i clienti di Arkéa, Fortuneo e Keytrade

Secondo Arkéa l’incidente non ha «nessuna conseguenza finanziaria» per i suoi clienti né effetti sui loro risparmi (traduzione nostra). L’effetto visibile è stato il ritardo nell’esecuzione di alcuni bonifici; quasi tutte le operazioni sono riprese nella mattinata del 4 novembre, dopo verifiche e misure di sicurezza rafforzate. I media belgi hanno scritto il 4 novembre che il gruppo colpito era la capogruppo di Keytrade, e Coindaro non ha trovato una dichiarazione separata di Keytrade.

Il gruppo non ha detto che siano stati rubati dati dei clienti. Avverte che dopo l’attacco sono possibili tentativi di phishing e ricorda ai clienti di non comunicare mai identificativo, password, numero di carta o codice di conferma via SMS, e di chiamare direttamente il proprio consulente per verificare ogni messaggio dubbio. La telefonata di un finto consulente che offre di «mettere in sicurezza» un conto dopo l’attacco è un’esca tipica.

La garanzia dei depositi citata da Baal scatta quando una banca fallisce, non per un furto dal conto della banca stessa. Per Fortuneo e Keytrade è gestita dal fondo francese FGDR e copre fino a 100.000 euro per depositante e per istituto di credito, secondo la scheda informativa per i depositanti di Keytrade. Entrambi sono nomi commerciali dello stesso istituto, Arkéa Direct Bank, quindi i depositi tenuti sotto i due marchi condividono un unico massimale.

Vigilanza, DORA e le domande ancora aperte

Arkéa dice di aver informato gli organismi competenti e di vigilanza, senza nominarli né indicare un orario. Secondo le regole europee DORA, in vigore dal 17 gennaio 2025, le banche devono segnalare al proprio supervisore gli incidenti ICT gravi; lo standard europeo di segnalazione fissa la notifica iniziale entro quattro ore dalla classificazione dell’incidente come grave e al più tardi entro 24 ore da quando se ne è venuti a conoscenza. Se Arkéa abbia rispettato questi termini non è pubblico, e Coindaro non ha trovato dichiarazioni dell’ACPR o della Banque de France. L’AMF, che autorizza le imprese crypto, non ha alcun ruolo nei sistemi informatici di questa banca.

L’elenco delle incognite è lungo. La perdita finale e la somma recuperata non si conoscono. Né si conoscono il nome del fornitore, il modo in cui gli aggressori sono entrati nella sua piattaforma e se il percorso via Fortuneo descritto da Raymond sia reale. Nessun gruppo ha rivendicato l’attacco e nessun sospettato è stato nominato dalla banca, dalla procura o dagli investigatori che hanno ricostruito i fondi.

I prossimi fatti dovrebbero arrivare dalla banca, che dice di aggiornare man mano che emergono nuove informazioni, e dall’indagine dell’OFAC. Sulla blockchain, i 37,26 milioni di dollari che Bitquery ha visto su Ethereum il 5 novembre sono la parte che chiunque può ancora osservare.