ZachXBT, 1억3,300만 달러 넘는 암호화폐 도난 피해자로 크레디트뮈튀엘 아르케아 지목

온체인 조사자 ZachXBT가 프랑스 은행 그룹 크레디트뮈튀엘 아르케아(Crédit Mutuel Arkéa)를 1억3,300만 달러가 넘는 암호화폐 도난의 피해자로 추정된다고 지목했다. ZachXBT는 화요일 텔레그램에서 은행을 거론하며 크레디트뮈튀엘 아르케아의 자산이 2,350억 달러라고 설명했다. ZachXBT는 공격이 며칠 동안 이어졌다고 말했다. ZachXBT는 장외거래 활동을 포함하면 도난액이 더 커질 것으로 추정했다.

크레디트뮈튀엘 아르케아는 도난 사건을 공개적으로 확인하지 않았다. 논평을 요청하기 위해 은행에 연락했다. ZachXBT는 크레디트뮈튀엘 아르케아를 지목한 근거나 공격자가 은행의 거래소 계정에 접근한 방법을 설명하지 않았다.

ZachXBT는 월요일 처음으로 도난 의혹을 제기하며, 신원이 밝혀지지 않은 유럽연합 내 기관이 11월 1일 1억600만 달러 넘는 손실을 입었을 수 있다고 말했다. ZachXBT는 자금이 여러 암호화폐 거래소 계정에서 나왔다고 밝혔다. ZachXBT의 최초 설명에 따르면 인출 자산은 USDC와 USDT였다. ZachXBT는 공격자가 USDC를 ETH로 교환하고, 즉시 교환 서비스를 통해 자금을 옮긴 뒤 일부를 프라이버시 코인 모네로로 바꾸고 여러 체인에 걸친 브리지를 이용했다고 말했다.

ZachXBT는 화요일 앞서 공격자의 인출액이 추가로 2,700만 달러였다고 보고해, 추정 피해액이 1억3,300만 달러를 넘었다고 밝혔다. ZachXBT는 최초 공개 이후에도 일부 인출이 이뤄졌다고 말했다. ZachXBT는 의심되는 도난과 연관된 것으로 본 이더리움 주소 4개도 공개했다.

ZachXBT는 서유럽의 대형 금융기관이 공격당했고 은폐가 진행 중이라는 점을 조사 가설로 제시했다. ZachXBT는 해당 기관의 사고 공개가 미흡해 사법당국이 도난 자금 약 3,000만 달러를 동결하지 못했다고 주장했다. ZachXBT는 공개하지 않은 탓에 3,000만 달러 넘는 자금이 세탁될 수 있었다고도 말했다.

크레디트뮈튀엘 아르케아는 암호화폐 서비스를 제공할 준비를 해왔다. 금융 전문지 L'Agefi는 5월 은행이 유럽연합의 암호자산시장법(MiCA)에 따른 인가를 신청했다고 보도했다. L'Agefi는 신청에 개인 고객 대상 암호화폐 서비스와 아르케아 뱅킹 서비스(Arkéa Banking Services) 사업부를 통한 화이트라벨 서비스가 포함됐다고 전했다.

이번 의혹은 63억 달러 규모의 바이낸스 해킹 사건이 발생한 지 며칠 뒤 제기됐다. 바이낸스 해킹은 기록상 최대 규모의 암호화폐 도난 사건이며, FBI는 북한 해커들이 저지른 것으로 봤다. ZachXBT는 유럽연합 내 도난 의혹 사건의 공격자는 신원이 확인되지 않았다고 말했다. 다만 여러 자금세탁 징후를 근거로 공격자가 북한 해킹 조직 라자루스 그룹이 아닐 것이라는 데 높은 확신을 표했다.