► Читайте телеграм-канал «Мінфіну»: головні фінансові новини
Про інцидент спочатку повідомив блокчейн-дослідник ZachXBT. Він оцінив викрадену суму більш ніж у $133 млн, простеживши рух коштів через рахунки на централізованих криптовалютних біржах. Згодом банк підтвердив факт атаки, але заявив, що остаточний розмір збитків ще встановлюється і є нижчим за названу дослідником суму.
Як зловмисники виводили гроші з банку
За даними ZachXBT, перші підозрілі операції були зафіксовані 1−2 листопада. Спочатку дослідник повідомив про виведення понад $106 млн у стейблкоїнах USDC та USDT із рахунків на кількох централізованих криптобіржах. Пізніше він виявив ще приблизно $27 млн транзакцій і збільшив оцінку загальних втрат до понад $133 млн.
За його спостереженнями, зловмисники активно обмінювали USDC на Ethereum, переводили активи через обмінні сервіси, а потім конвертували частину коштів у Monero — криптовалюту, орієнтовану на підвищену конфіденційність транзакцій. Це ускладнює відстеження подальшого руху грошей.
ZachXBT також припустив, що фактичні втрати можуть бути більшими, якщо врахувати операції поза біржами. Водночас він заявив, що має високий рівень упевненості: за атакою не стоїть північнокорейське хакерське угруповання Lazarus Group.
4 листопада Crédit Mutuel Arkéa офіційно підтвердив, що став жертвою атаки, яка дозволила провести шахрайські операції. У додатковому повідомленні банк пояснив, що зловмисники використали його власний рахунок для переказів до інших банків, звідки кошти потенційно могли потрапити на криптовалютні платформи.
Установa окремо спростувала повідомлення про те, що початковим каналом проникнення стала її дочірня онлайн-банківська платформа Fortuneo. За версією банку, хакери скористалися платформою одного з його постачальників послуг і таким чином отримали доступ безпосередньо до Crédit Mutuel Arkéa. Банк назвав атаку складною та такою, що була здійснена ззовні, а не стала наслідком людської помилки.
Кошти клієнтів не постраждали, прокуратура розпочала розслідування
Після виявлення атаки банк тимчасово призупинив частину транзакцій, щоб заблокувати подальші шахрайські перекази. Через це деякі клієнти зіткнулися із затримками банківських операцій, зокрема переказів.
Crédit Mutuel Arkéa запевнив, що кошти клієнтів не постраждали. За повідомленням установи, інцидент локалізували, а роботу операційних систем поступово відновили після додаткових перевірок і посилення захисту.
Банк також повідомив компетентні органи. Паризька прокуратура відкрила розслідування за фактом атаки на автоматизовану систему обробки даних, вчиненої організованою групою. Справу передали французькому підрозділу з боротьби з кіберзлочинністю.
ZachXBT розкритикував фінансову установу за те, що, на його думку, через недостатньо швидке реагування зловмисники могли встигнути відмити понад $30 млн. Він вважає, що своєчасне інформування правоохоронців та криптовалютних платформ могло б допомогти заморозити більшу частину активів. Однак це оцінка незалежного дослідника, а не встановлений правоохоронцями факт.
Читайте також: БТА Банк може перейти до Nova: співвласники «Є-Гроші» вийшли з угоди
Масштаб банку і проблеми з відмиванням грошей
Crédit Mutuel Arkéa — французька кооперативна банківська група зі штаб-квартирою в Бретані. Вона об'єднує регіональні структури Crédit Mutuel de Bretagne та Crédit Mutuel du Sud-Ouest, а також низку дочірніх компаній, серед яких онлайн-банк Fortuneo.
За даними Reuters, група обслуговує близько 5,8 млн клієнтів, а її активи становлять приблизно €211,5 млрд. Банк наголошує, що збитки від кібератаки не загрожують його фінансовій стійкості.
Але у січні 2017 року Національна конфедерація Crédit Mutuel оголосила догану Crédit Mutuel Arkéa. Претензії стосувалися надання документів для пруденційного нагляду, виконання зобов'язань щодо фінансової солідарності всередині групи, використання спільного бренду та відкриття банкоматів за межами території діяльності установи. Це була внутрішня дисциплінарна справа, а не звинувачення у відмиванні грошей.
У березні 2018 року французька Державна рада розглянула суперечку між Arkéa та Національною конфедерацією Crédit Mutuel. Суд відхилив більшість претензій банку до повноважень конфедерації, але визнав процедуру накладення дисциплінарних санкцій такою, що порушує принцип неупередженості. Це також була корпоративно-регуляторна суперечка, а не справа про фінансові злочини.
Водночас Crédit Mutuel Arkéa публікує власні документи про політику протидії відмиванню коштів і фінансуванню тероризму. У них група заявляє про наявність відповідних процедур контролю, внутрішніх перевірок і звітності перед наглядовими органами. Проте такі документи є описом політики самого банку, а не незалежним підтвердженням ефективності всіх його механізмів контролю.
Як ми писали: У Сербії затримали власника банку, який обслуговував перекази росіян: що відомо про справу Alta