Банк Crédit Mutuel Arkéa втратив $133 млн у біткоїні: розбір атаки

Понад $133 млн — попередня ціна однієї кібератаки на французький Crédit Mutuel Arkéa. Але цікава тут не сума, а місце, звідки пішли гроші: не з блокчейну під власними ключами банку, а з акаунтів на криптобіржах. Для того, хто тримає біткоїн, це принципова різниця, і про неї варто поговорити окремо.

Що відомо на ранок 5 листопада

• Банк підтвердив, що зазнав кібератаки, і публічно визнав інцидент.
• Ончейн-детектив ZachXBT оцінив втрати більш ніж у $133 млн і пов’язав їх із Crédit Mutuel Arkéa.
• За його версією, кошти йшли з біржових акаунтів, а не з холодного сховища.
• Crypto.com підтвердив: гроші, пов’язані з крадіжкою, заблоковані на платформі.
• Як саме зловмисники отримали доступ і хто за цим стоїть, публічно не розкривається; офіційної оцінки збитків від банку поки немає.

Мережа працювала, а гроші пішли

Поки з’ясовували деталі, курс біткоїна тримався біля $80 542 — плюс 5% за добу при обсязі $36,8 млрд і капіталізації $1,62 трлн. Домінація BTC 59,53%, ефір біля $2 427 (+7,4%), весь ринок — $2,72 трлн (+2,2% за добу). Індекс страху та жадібності піднявся до 50 із 34 напередодні: із зони страху ринок перейшов у нейтральну.

Це і є головний маркер. Мережа й ринок не побачили в цій історії системного ризику — не тому, що $133 млн мало, а тому, що загроза спрацювала не на рівні протоколу, а на рівні посередника, який має доступи. Біткоїн ніхто не «зламував»: зламали того, хто зібрав чужі монети в одному місці й зберігав до них ключі.

Хто тут чим керує

Розподіл ролей важливіший за суму, бо саме від нього залежить, чи повернуться гроші.

Зауважте, хто ні на що не впливає, — той, чиї гроші зрештою постраждали. У кастодіальній моделі рішення ухвалює не власник монет, а той, у кого є кнопка «заморозити».

За чим стежити далі

1. Офіційну оцінку збитків від банку: розбіжність із цифрою $133 млн покаже, наскільки повна картина.
2. Долю заблокованих коштів: їх повернуть банку, залишать до рішення суду чи розморозять частково — це індикатор реальних повноважень платформи.
3. Реакцію європейських регуляторів: чи вимагатимуть вони розкрити деталі доступу і як це позначиться на вимогах до банківського зберігання криптовалюти.
4. Поведінку ринку: якщо курс біткоїна й далі ігноруватиме такі історії, отже, ризик посередника ринок поки оцінює низько.

Ризики, які видно вже зараз

• Концентрація: поки монети лежать на одному біржовому рахунку, один витік доступів коштує одразу всієї суми.
• Необоротність: транзакції в біткоїні не скасувати — можна лише встигнути заморозити їх на вході до біржі.
• Неповнота даних: сума оціночна, механіка доступу невідома, висновки доведеться уточнювати.
• Репутаційний ефект: кожен такий випадок б’є по довірі до банківського зберігання криптовалюти загалом.

Як влаштовані розбори після великих крадіжок і чому відмова платити викуп іноді залишає викрадені монети в атакувальника, ми розбирали на прикладі зламу Liquid на $320 млн. Схожа механіка заморозки й повернення коштів була в історії Mercado Bitcoin. Хто тримає ключі й як це змінює ціну ризику — у матеріалах за тегом Bitcoin.

Що видно з нашого боку

У кожного учасника цієї історії свій інтерес, і вони не збігаються. Банку потрібно якомога тихіше повернути гроші й зберегти обличчя; біржі — показати, що її заморозка спрацьовує швидше, ніж виведення; ончейн-аналітику — щоб його версія підтвердилася, адже на цьому тримається його вага; регулятору — процедура, а не швидкість. І лише власник викрадених монет у цьому розкладі не вирішує нічого: він заздалегідь передав право розпоряджатися тому, у кого ключі.

Поки правила зберігання пишуть не власники ключів, а ті, хто видає ліцензії, ціна питання вимірюється не в біткоїнах, а в довірі до посередника. Звідси проста ознака стійкості — передбачуваність: якщо ви можете заздалегідь сказати, як поводитиметься платформа під час крадіжки, отже, обіцяне виконується; якщо відповідь «як вийде», це не зберігання, а надія.

Для ринку ця історія, найімовірніше, залишиться фоном: мережа працює, курс тримається, настрої повернулися до нейтральних. Для тих, хто тримає крипту через посередника, висновок жорсткіший — ризик вимірюється не волатильністю, а кількістю людей і систем, які мають доступ до вашого рахунку.

Дані: CoinDesk — ZachXBT називає французький банк Crédit Mutuel Arkéa · Decrypt — Crédit Mutuel Arkéa підтверджує кібератаку · Bitcoin Magazine — французький банк Credit Mutuel Arkea підтверджує кібератаку