ZachXBT afirmou que uma instituição da Europa Ocidental estava a ocultar um ataque cibernético no valor de 133 milhões de dólares

Na segunda-feira, ninguém sabia quem tinha perdido o dinheiro. Na quarta-feira de manhã, a vítima já tinha um nome, uma declaração e muitas perguntas para responder.

Tudo começou a 2 de novembro, quando ZachXBT publicou um alerta no seu canal do Telegram. Segundo ele, uma entidade da UE não identificada tinha perdido mais de 106 milhões de dólares de várias contas em bolsas centralizadas no dia anterior. O atacante retirou tudo em USDC e USDT, depois começou a trocar por ETH, passando por exchanges instantâneas e convertendo parte do montante em Monero. Publicou 11 endereços. O DEGEN NEWS divulgou o alerta no X em poucas horas, e o Wu Blockchain também o retransmitiu.

Um dia depois, o valor ascendia a 133 milhões de dólares. ZachXBT tinha encontrado mais 27 milhões de dólares em levantamentos de bolsas, alguns dos quais efetuados após a sua primeira publicação. A sua teoria era que uma grande instituição financeira da Europa Ocidental tinha sido alvo de um ataque e que o caso estava «atualmente a ser abafado». O que mais o incomodava era o momento em que tudo isto aconteceu. Segundo ele, foram lavados mais de 30 milhões de dólares que as autoridades da UE poderiam ter congelado se o incidente tivesse sido devidamente divulgado.

No final do dia 3 de novembro, revelou o nome da instituição: o Crédit Mutuel Arkéa, um banco cooperativo francês com cerca de 211,5 mil milhões de euros em ativos e mais de 5,6 milhões de clientes. Afirmou que o ataque se prolongou por vários dias. «Suspeito que o montante roubado seja superior se tivermos em conta a atividade no mercado de balcão», acrescentou.

A resposta do banco

A parte da história em que «ainda se tentava esconder o caso» não durou muito tempo. A 4 de novembro, o Arkéa informou os meios de comunicação franceses, incluindo o Cryptoast e a France Télévisions, de que tinha sofrido um ataque que permitiu operações fraudulentas. Afirmou que o incidente está agora controlado, que os clientes não enfrentam consequências financeiras e que algumas transações foram suspensas temporariamente. Não revelou qualquer valor relativo às perdas nem deu qualquer explicação sobre como os atacantes conseguiram entrar.

Assim, o banco admitiu o incidente um dia depois de ter sido identificado. Se informou as autoridades da UE antes de o dinheiro ter sido transferido é uma questão à parte, e não vi nada que responda a essa questão, seja de forma positiva ou negativa.

Talvez não tenham sido as criptomoedas que foram roubadas

É aqui que a situação se torna estranha. Segundo o Cryptoast, o jornalista Grégory Raymond relatou que o dinheiro pode ter saído do banco como moeda fiduciária e só ter sido convertido em criptomoeda posteriormente, como parte do processo de branqueamento. A sua fonte descreveu uma rede organizada de contas «mula». Relatos franceses associaram a fraude ao Fortuneo, o banco online da Arkéa. Uma fonte avançou duas explicações: uma violação dos sistemas de pagamento do Fortuneo ou uma manobra de engenharia social ao estilo da fraude do CEO. Outra fonte afirma que os fundos foram para contas em plataformas de câmbio abertas com identidades falsas que conseguiram passar pela verificação KYC. A análise da Bitquery aos dados na cadeia de blocos aponta para que o atacante controlasse os dados de acesso à bolsa. Nada disto está confirmado e as versões não se encaixam perfeitamente.

O montante também continua a ser impreciso. 133 milhões de dólares correspondem a cerca de 118 milhões de euros. Algumas notícias francesas referem «mais de 100 milhões de euros». ZachXBT considera que o total real é superior.

O que a cadeia revela

A Bitquery rastreou 108,8 milhões de dólares em USDC a sair de contas na Kraken, Crypto.com e OKX ao longo de cerca de 21 horas. Num intervalo de quatro horas, cerca de 62,98 milhões de dólares em stablecoins foram convertidos em 27 553 ETH. Às 13:47 UTC de 2 de novembro, cerca de 78,3 milhões de dólares ainda se encontravam em carteiras associadas aos atacantes, 30,5 milhões de dólares já tinham saído dos endereços rastreados e apenas 3,74 milhões de dólares eram em USDC que a Circle poderia congelar.

A Kraken afirma ter restringido as contas associadas ao incidente. A Crypto.com afirma ter bloqueado os fundos relacionados. Ambas afirmam que as suas próprias plataformas não foram comprometidas. A OKX terá, alegadamente, iniciado uma investigação sobre as alegações.

Ambas as declarações podem muito bem ser verdadeiras. Ainda assim, 21 horas é muito tempo para mais de 100 milhões de dólares desaparecerem de contas em três grandes plataformas, todas elas dotadas de equipas de conformidade.

ZachXBT afirma também, com um «elevado grau de confiança», que não se trata do Lazarus. O percurso de branqueamento é diferente, com trocas instantâneas, a utilização da Wagyu para a conversão para Monero e muitas mudanças de cadeia. O momento em que ocorreu torna o caso suspeito: surge dias depois do ataque à Binance, no valor de cerca de 6,4 mil milhões de dólares, que o FBI atribuiu ao grupo norte-coreano «TraderTraitor». Este caso é de menor dimensão e mais confuso, e ninguém sabe quem é o autor do ataque.

O que ainda está em aberto

O montante, o método e a identidade do atacante continuam por confirmar. A Arkéa afirma que as operações normais serão retomadas assim que as verificações de segurança finais forem concluídas. A possibilidade de recuperar algum dos fundos restantes depende do montante que ainda se encontra nessas carteiras, e esse valor estava a variar rapidamente.