クレディ・ミュチュエル・アルケア、サイバー攻撃を確認　ZachXBTは被害額1億3300万ドル超と主張

クレディ・ミュチュエル・アルケアは水曜日、サイバー攻撃により、同行自身の口座を使った不正送金が可能になったと明らかにした。オンチェーン調査員のZachXBTは、盗難額を1億3300万ドル超と推定しているが、同行はこの金額を確認していない。ブルターニュ地方に本拠を置く同行は、事案は封じ込められ、業務は通常に戻りつつあると述べた。顧客資産に影響はなかったものの、一部の送金に遅れが出たという。クレディ・ミュチュエル・アルケアは予防措置として一部の取引を一時停止した。

クレディ・ミュチュエル・アルケアは追加の質疑応答文書で、攻撃者がサービス提供会社のプラットフォームを通じて同行にアクセスしたと説明した。攻撃者は同行自身の口座から他の銀行に資金を移し、専門プラットフォームを通じて暗号資産に換金できる状態にした可能性があるという。攻撃者は、連合会や子会社の顧客口座を利用しなかったと同行は述べた。同行は、オンライン銀行部門のフォーチュネオが侵入口だったとするフランスの報道を否定した。クレディ・ミュチュエル・アルケアは、事案は人為的ミスではなく、高度な外部からの攻撃だと説明した。

クレディ・ミュチュエル・アルケアは最終的な損失額を公表していない。1億1800万ユーロ（1億3300万ドル）の盗難について質問された同行は、その金額の確認を控えたものの、おおよその規模は認めた。AFP通信は、同行が攻撃による損失を暫定的に約1億ユーロと見積もったと報じた。ロイターは水曜日早く、同行が損失額は1億3300万ドル未満だと述べたと報じた。銀行の広報担当者は、現時点で確定額を示すことはできないと述べた。影響を受けた資金の一部は凍結され、残る資金の回収に向けた取り組みが続いていると同行は説明した。関係する金額は同行の財務の健全性や安定性に全く脅威を与えないという。

ZachXBTは月曜日、被害者を特定せずにこの事案を最初に取り上げた。ZachXBTによると、EU域内の事業体が11月1日、複数の中央集権型取引所口座から1億600万ドル超を失った疑いがある。ZachXBTは、USDCとUSDTで出金された後、イーサに換金され、複数のブロックチェーン上に送金されたと述べた。その後、ZachXBTは取引所から少なくともさらに2700万ドルが出金されたことを確認したと報告し、推定総額は1億3300万ドル超に増えた。ZachXBTは後の投稿で、被害者とされるのはクレディ・ミュチュエル・アルケアだと特定した。攻撃は数日間続き、店頭取引も含めれば盗難額はさらに増えるとみているという。

クレディ・ミュチュエル・アルケアは、ZachXBTの推定額も、同氏が示した時系列も確認していない。同行は攻撃の開始日、実行犯の身元、データが盗まれたかどうかを明らかにしていない。クレディ・ミュチュエル・アルケアは、攻撃の発生源と手口を解明するため、司法・警察当局に協力している。攻撃を検知した際に監督当局へ通知したという。同行はまた、事案を受けてフィッシング詐欺の可能性に注意するよう顧客に呼びかけた。回収可能な金額と最終的な損失額は、なお確定していない。

クレディ・ミュチュエル・アルケアは、ブルターニュ地方と南西部のクレディ・ミュチュエル連合会を束ね、より広範なクレディ・ミュチュエル・グループに属している。ロイターによると、同行の顧客数は580万人。同行の資産は2115億ユーロ（約2380億ドル）に上るとロイターは報じた。AFP通信によると、同行は今年上半期に純利益2億3000万ユーロを計上した。

今回の事案は、過去最大となる63億4000万ドルのバイナンスへのハッキングから1週間足らずで起きた。ブロックチェーン分析会社は、バイナンスへのハッキングと北朝鮮との関連を指摘している。ZachXBTは最初の投稿で、今回の事案に北朝鮮のラザルス・グループが関与していないと強く確信していると述べた。ブラジルのメルカド・ビットコインも今週、セキュリティー事案を受けて入出金を停止した。