WORLDTECHAngreifer schleusten über Dienstleister bis zu 133 Millionen Dollar aus Crédit Mutuel Arkéa
Die französische Genossenschaftsbank Crédit Mutuel Arkéa erklärt, Angreifer seien über einen externen Anbieter eingedrungen und hätten von ihrem eigenen Konto aus betrügerische Transaktionen von bis zu 133 Millionen US-Dollar verschickt, weshalb sie bestimmte Systeme aussetzen musste. Kundenvermögen seien nach Angaben der Bank nicht angetastet worden.
Wie die Eindringlinge an das Bankkonto gelangten
Crédit Mutuel Arkéa, eine große französische Genossenschaftsgruppe aus Bank- und Versicherungsgeschäft mit Sitz in Brest in der Bretagne, sagt, die Täter hätten Kundenkonten gar nicht ins Visier nehmen müssen. Ein Dienstleister habe ihnen den Zugang verschafft, von dort aus hätten sie über das eigene Konto der Bank Transaktionen an andere Bankorganisationen geleitet.
Die Bank hat inzwischen einzelne Systeme abgeschaltet. In ihrer Mitteilung vom 4. November bezeichnet sie den Vorfall als eingedämmt, bestätigt, dass Kundenvermögen unangetastet blieb, und vermerkt, dass einige Überweisungen zurückgehalten wurden.
Summen in den Berichten weichen ab
Die Bank nennt bis zu 133 Millionen US-Dollar. Ein am Donnerstag zitierter Bericht beziffert den Verlust niedriger auf rund 100 Millionen Euro (112,61 Millionen US-Dollar), spricht von einem seltenen Erfolg von Cyberkriminellen gegen eine etablierte Bank und schreibt, das Institut bemühe sich um die Rückholung des Geldes.
Der Blockchain-Forscher ZachXBT, der einen Tag vor der Mitteilung der Bank eine große unautorisierte Abhebung von mehreren zentralen Börsenkonten gemeldet hatte, schätzt den möglichen Diebstahl auf bis zu 118 Millionen Euro (133 Millionen US-Dollar). Die Mittel seien als Stablecoins USDC und USDT abgeflossen, gegen ETH getauscht, über Sofortbörsen bewegt, in XMR umgewandelt und über mehrere Chains verschoben worden.
Ermittlungen und Zuordnung bleiben offen
Die Cybercrime-Einheit der Pariser Staatsanwaltschaft hat ein Verfahren eröffnet, nachdem Crédit Mutuel Arkéa Anzeige erstattet hatte; die französische Cybercrime-Polizei führt die Ermittlungen. Der Angreifer ist bislang nicht identifiziert.
ZachXBT hält es anhand der Geldwäschemuster für höchst unwahrscheinlich, dass die Lazarus Group dahintersteckt. Laut BleepingComputer argumentierte der Forscher, das Fehlen einer öffentlichen Mitteilung habe es Angreifern erlaubt, bis zum 3. November 30 Millionen US-Dollar zu waschen, was EU-Behörden womöglich am Einfrieren der Gelder gehindert habe.
Kunden vor Phishing gewarnt
Parallel zu den Ermittlungen warnt die Bank ihre Kunden, dass das Risiko von Phishing-Versuchen gestiegen sei.
Offene Fragen
- Wie viel von der Summe kann die Bank zurückholen?
- Welcher Dienstleister wurde ausgenutzt, und wie gelangten die Angreifer an ihn?
- Wer steckt hinter dem Angriff, wenn die Lazarus Group nach Einschätzung des Forschers unwahrscheinlich ist?