फ्रांसीसी बैंक Credit Mutuel Arkea को आपूर्तिकर्ता-संचालित हैक में 133M डॉलर तक का नुकसान हुआ और पैसा क्राइप्टो के माध्यम से सफ़ाया किया गया, लेकिन सार्वजनिक लेजर ने उजागर किया कि बैंक ने क्या देखा नहीं।
द Credit Mutuel Arkea हैक: क्रिप्टो ने उस चीज़ का अनुसरण किया जो बैंक ने छोड़ दिया
क्रेडिट मोटुअल आर्केआ, 211.5 अरब यूरो संपत्ति और 5.8 मिलियन सदस्यों वाला एक फ्रांसीसी सहकारी बैंक, उस हैक के बाद लगभग 100 मिलियन यूरो ($112.6 मिलियन) खो गया है जिसकी बैंक ने 5 नवंबर को घोषणा की थी। ऑन-चेन जांचकर्ता ZachXBT (https://x.com/zachxbt) ने नुकसान को 118 मिलियन यूरो ($133 मिलियन) तक बता दिया है।無論, हमलावरों ने कभी किसी ग्राहक की पासवर्ड तक नहीं पहुँचा। वे एक तीसरी पक्ष सेवा प्रदाता के माध्यम से बैंक के अपने खातों का उपयोग करके पैसे बाहर भेजने में सफल रहे और आय को क्रिप्टो में बदल दिया। फिर बैंकिंग उद्योग द्वारा अपेक्षित कुछ ऐसा हुआ: बैंक की स्वयं की निगरानी के बजाय जनता ब्लॉकचेन ने ही उन्हें उजागर किया।
पंद्रह वर्षों से बैंक और उनके नियामक उन सभी को बताते आए हैं जो सुनने को तैयार हैं कि क्रिप्टोकरेंसी अपराधियों की पसंदीदा भुगतान रेल है। Credit Mutuel Arkea हैक उस कहानी को पलट देता है। कमजोर कड़ी बैंक का अपना आपूर्तिकर्ता नेटवर्क थी, पत्र-व्यवहार बैंकिंग का पारदर्शियों से रहित, अनपरीक्षित, निजी पाइपलाइन। वह हिस्सा जो वास्तव में काम कर रहा था, वह 'खतरनाक' हिस्सा था: एक पारदर्शी लेजर, ZachXBT नाम का एक गुमनाम जांचकर्ता, और तीन क्रिप्टो एक्सचेंज जिनने जुड़ी धन राशियों को कुछ ही दिनों में अवरुद्ध या जमा कर दिया।
मुख्य बिंदु
ZachXBT ने नुकसान 118 मिलियन यूरो ($133 मिलियन) तक बताया; खुद बैंक ने आस-पास 100 मिलियन यूरो ($112.6 मिलियन) गायब की पुष्टि की है और कहा है कि यह अभी तक यह नहीं कह सकता कि यह कितना वापस प्राप्त कर पाएगा.
- चोरी की गई फीट फाइयाँ क्रिप्टो (USDC और USDT को ether में, फिर तुरंत एक्सचेंजों, फिर Monero में) में बदल दी गईं, लेकिन Kraken, Crypto.com, और OKX ने कुछ ही दिनों में लिंked फंड्स को रोका या जमा कर दिया।
- ZachXBT ने 2 नवंबर को चोरी की पहचान की, जबकि बैंक ने 5 नवंबर को इसे सार्वजनिक रूप से प्रकट किया।
- ZachXBT का अनुमान था कि यह उत्तर कोरिया का Lazarus Group नहीं है, बल्कि एक स्वतंत्र, उन्नत साइबर अपराध समूह है।
बैंक, विडंबना से, खुद रिटेल ग्राहकों को क्रिप्टो बेचने के लिए MiCA लाइसेंस पाने की प्रक्रिया में थी।
बड़ा चित्र: पैसा चलाने का रेलवे सख्ती का रेलवे भी है
हर धन-शोधन की कहानी में दो रेलें होती हैं: एक वे जिसका उपयोग अपराधी पैसा स्थानांतरित करने के लिए करते हैं, और दूसरी जिसका उपयोग कानून प्रवर्तन एजेंसियां उसे ट्रैक करने के लिए करती हैं। दशकों तक ये दोनों रेलें एक ही चीज थीं, कॉरस्पॉन्डेंट बैंकिंग प्रणाली। शेल कंपनियों, व्यापार में गलत इनवॉइसिंग, और दोस्ताना अदालतों ने लाखों करोड़ डॉलर को बैंकों के माध्यम से प्रवाहित होने दिया जो उन्हें नहीं देख सकते थे या नहीं देखना चाहते थे।
कहा जाता था कि क्रिप्टो इसे और worse कर देगा। एक मायने में यह हुआ भी। Arkea के चोरों ने पैसे को stablecoins में बदला, उसे ether में swapped किया, इसे WellWallet और Kyrrex जैसे instant exchanges से गुज़ारा, chains के बीच bridged किया, और कुछ हिस्सा Monero में parked कर दिया। Bitquery (https://bitquery.io/), एक blockchain analytics firm ने, $108.8 million के USDC को Kraken, Crypto.com, और OKX के accounts से 15 wallets में Nov 1 और 2 को लगभग 21 घंटों में देखा, और अगले दोपहर $78.3 million अब भी Ethereum पर sitting पाया।
लेकिन यहाँ वह सच है जिसे क्रिप्टो के आलोचकों ने कभी स्वीकार नहीं करना चाहा: वही सार्वजनिक लेजर जिसने पैसे को तेज़ी से हिलने दिया, वही वह है जिसने उसे दिखाई देना सुनिश्चित किया। ज़ैकXBT, एक अकेला छद्मनामी जांचकर्ता कीबोर्ड के साथ, ने नवंबर 2 को निकासियों को फ्लैग किया, बैंक द्वारा कुछ कहने से पहले ही। क्रैकेन ने देखा कि ट्रांसफ़र्स "असामान्य से भी बड़े और तेज़ आ रहे" थे और चलते हुए कुछ को रोक दिया। Crypto.com ने लिंक खातों को फ्रीज कर दिया। OKX ने असाधारण गतिविधि देखने के बाद एक संस्थानीय खाते को फ्रीज कर दिया।
211.5 अरब यूरो की संपत्ति और हजारों कर्मचारियों वाला एक बैंक $112.6 मिलियन के अपने खातों से निकलते हुए नहीं देख सका। इंटरनेट पर एक आदमी देख सका।
जीतने वाले और हारने वाले
जीतने वाले वे हैं जो कॉम्प्लायंस लेयर पर क्रिप्टो ने कई सालों तक मज़ाक उड़ाया है। ब्लॉकचेन एनालिटिक्स कंपनियां, जिनमें ZachXBT, Chainalysis, TRM Labs और Bitquery शामिल हैं, बस एक दशक में अपनी सबसे बेहतरीन सेल्स पिच हासिल की है। Kraken, Crypto.com, और OKX ने साबित कर दिया कि ब्लॉक और फ्रीज़ बटन, वही चीज़ जो क्रिप्टो के निर्मलीयवादियों को सबसे अधिक भाती है, ठीक वही चीज़ है जो चोरी के फंड्स के गायब होने को रोकती है। स्टेबलकॉइन जारीकर्ताओं को एक और डेटा पॉइंट मिला: जब चोर पैसे को USDC और USDT के माध्यम से ले जाता है, तो जारीकर्ता उसे फ्रीज़ कर सकता है, और अगले दिन तक ट्रैक किए गए कुल का केवल $3.7 मिलियन ही अभी भी फ्रीज़ करने योग्य USDC में था। यह एक विशेषता है जो नियामकों को पसंद है, और यही कारण है कि "फ्रीज़ करने योग्य" अब देकेंट्रलाइज़ेशन पर दाग होने के बजाय संस्थागत अपनाने के लिए एक बेचने की बात बन गया है।
नुकसान उठाने वाले पुराने अनुमान हैं। बैंकों ने वर्षों तक नियामकों को बताया है कि उनके नियंत्रण सर्वोत्तम हैं। Arkea के अपने निगरानी प्रणाली ने चोरी को नहीं पकड़ा; उल्लंघन एक सेवा प्रदाता के माध्यम से हुआ, जिसकी प्लेटफॉर्म ने बैंक के खजाने की चाबियों के बराबर सुरक्षित रखा था। एक बैंक और उसके वेंडर्स के बीच की भरोसे की सीमा अब आक्रमण की सतह बन गई है, और यूरोप के डिजिटल संचालन प्रतिरोध अधिनियम (DORA) के तहत, जो जनवरी 2025 से लागू है, उस तृतीय-पक्ष जोखिम को अब आधिकारिक रूप से बैंक की समस्या माना गया है.
एक दूसरा नुकसान भी है जो कोई नहीं कह रहा है: वह कथन कि 'क्रिप्टो अपराधियों के लिए है'। यह तर्कसंगत नहीं है कि क्रिप्टो को काले धन की नली कहा जाए, जब एक पारंपरिक बैंक, न कि एक एक्सचेंज और न ही कोई DeFi प्रोटोकॉल, एक वेंडर के माध्यम से लूट गया था, और क्रिप्टो ने ही लेखा-जोखा का मार्ग तैयार किया था।
ऐतिहासिक संदर्भ: बांग्लादेश बैंक, लेकिन एक पब्लिक लीडर के साथ
यह पहले भी हुआ है, और यह तुलना शिक्षाप्रद है। 2016 में, हमलावरों ने SWIFT संदेश प्रणाली का उपयोग करके न्यूयॉर्क फेड में बांग्लादेश बैंक के खाते से $81 मिलियन चुरा लिए थे। पैसा कैसीनो और नकद से होकर गया, पारदर्शी रेल, जिनने पता लगाने की कोशिश को लगभग तुरंत खत्म कर दिया। इसमें से बहुत कुछ कभी वापस नहीं मिला।
आर्केया हैक बांग्लादेश बैंक का 2026 का अनुसरण है, लेकिन एक महत्वपूर्ण अंतर: निकलने का रास्ता एक सार्वजनिक ब्लॉकचेन था। 2016 के चोर जिनके पास केसिनो चिप्स और कैश कूरियरों के माध्यम से गायब हो गए, 2026 के चोर सीधे एक लेजर में भाग गए, जो सब कुछ हमेशा के लिए रिकॉर्ड करता है। ZachXBT पैसे का पीछा कर सकता था क्योंकि पैसे पूरी तरह छिप नहीं सकते थे। इनका कुछ हिस्सा Monero और क्रॉस-चेन ब्रिजों में गायब हो गया, लगभग $30 मिलियन को बैंक के कुछ भी disclosing करने से पहले अंडरहोड किया गया, लेकिन यह तथ्य कि पूरा ट्रैक रियल-टाइम में ऑन-चेन में पढ़ा जा सकता है, बात का मुख्य बिंदु है।
असली अंतर का दूसरा पहलू यह विडंबना है। कहा जाता है कि आर्केया रेटेल ग्राहकों को क्रिप्टो बेचने के लिए MiCA लाइसेंस का इंतज़ार कर रहा था। एक ऐसा बैंक जो क्रिप्टो से मुनाफा कमाने वाला था, उसे क्रिप्टो के माध्यम से लूटा गया और पैसे अंडरहोड किए गए। ऐसी संस्था ने उस संपत्ति वर्ग के बारे में अनुपालन पर उपदेश दिए, जो खुद अपनी अनुपालन विफल कर चुकी थी।
भविष्य का दृष्टिकोण: आपूर्तिकर्ता जोखिम व्यवस्थित जोखिम बन रहा है
यही वह दिशा है जिसकी ओर ये एक से तीन साल में बढ़ रही है। अब बैंक कुछ गहरी तरह एकीकृत आपूर्तिकर्ताओं पर निर्भर हैं: भुगतान प्रोसेसर, कोर-बैंकिंग आपूर्तिकर्ता, और प्रबंधित-सेवा प्रदाता। Worldline, Fiserv, और Temenos जैसे कंपनियां आर्थिक संचालन में इतनी गहरी है कि उनमें से किसी एक का उल्लंघन कई बैंकों के तब एक साथ उल्लंघन के बराबर है। Arkea ने अपना ऑनलाइन बैंक Fortuneo को प्रवेश बिंदु के रूप में खारिज कर दिया और एक बाहरी प्रदाता के प्लेटफ़ॉर्म को दोष दिया। प्रदाता का नाम अभी तक सामने नहीं आया है। वह खामोशी भी कहानी है: व्यवस्था को यह नहीं पता कि कौन सा एक आपूर्तिकर्ता व्यवस्थित कमजोर कड़ी है, और DORA के तहत हर EU बैंक अब उस ICT जोखिम के लिए कानूनी रूप से जिम्मेदार है जिसे वह पूरी तरह से नियंत्रित नहीं कर पाता है।
तीन बातों की उम्मीद करें। सबसे पहले, तीसरी-पक्ष पहुँच पर कड़ाई: न्यूनतम-सत्ता वाली सीमाएं, नए लाभार्थियों पर द्वि-अनुमोदन, और विक्रेता API टोकन पर तत्काल बंद करने के स्विच। दूसरा, प्राइवेसी कॉइन एक हिसाब चुकाने की स्थिति में हैं: Monero अब लगभग हर लेनदेन श्रृंखला में आखिरी कदम है, और हर नया डकैती इसे एक बड़ा लक्ष्य बनाती है। तीसरा, और सबसे अधिक महत्वपूर्ण, "बैंक सुरक्षा" और "क्रिप्टो सुरक्षा" के बीच की रेखा धुंधली होती जाती है। बैंक उसी ऑन-चेन निगरानी को अपनाएगा, जिसे एक बार उसने मजाकिया बताया था, क्योंकि पंजीका बेहतर पुलिस साबित हुआ।
Traders का कोण: काउंटरपार्ट जोखिम अब नया चर
"यह एक कीमत की कहानी नहीं है, और न ही इसका विचार ऐसा ही करना चाहिए। लेकिन यह बदल देती है कि आपको अपने पैसे कहाँ रखने और किसके साथ व्यवहार करने के बारे में सोचना चाहिए। जो एक्सचेंज तेज़ी से आगे बढ़े, Kraken, Crypto.com, OKX, उन्होंने सिद्ध कर दिया कि उनके पास कार्यरत अनुपालन और प्रतिक्रिया टीम हैं। इसकी कुछ कीमत है, क्योंकि अगली बार जब एक नौ-आंकड़ीय चोरी होगी, तो जुड़ी हुई राशि को जमा करना और उसे Monero में गायब देखना, इसका फर्क यही होगा कि आपकी वेन्यू कितनी तेज़ी से कार्रवाई कर सकती है।"
इसका गहरा सबक विश्वास की असममिति के बारे में है। एक ऐसे बैंक जिसके पास किले जैसा ब्यालेंस शीट और हज़ारों पाबंदी अधिकारी थे, $112.6 मिलियन को अपनी ही दहलीज़ से चलकर जाने से नहीं रोक सका। "असंभवतः बड़ा कि विफल हो" वाली संस्था की रक्षा सिर्फ़ एक वेंडर के क्रेडेंशियल्स से हो रही थी। दूसरी ओर, बहुत आलोचित और "अनियामित" क्रिप्टो रेल ने वास्तविक समय में एक सार्वजनिक ऑडिट ट्रेल पेश किया। यदि आप काउंटरपार्टीज — बैंक, एक्सचेंज, कस्टोडियंस — का आकलन कर रहे हैं, तो सवाल अब यह नहीं है कि "क्या वे नियामित हैं?" बल्कि यह है कि "क्या वे अपने पैसों के चलने को देख सकते हैं?"
बंद
तो यहाँ वह असहज प्रश्न है जिसे बैंकिंग लॉबी पूछा जाना नहीं चाहती: यदि एक 211 बिलियन यूरो का बैंक उस वेंडर के माध्यम से $112.6 मिलियन खो सकता है जिस पर उसका भरोसा था, और एक सार्वजनिक ब्लॉकचेन पर एक छद्मनाम वाले जासूस इसे वॉलेट-दर-वॉलेट ट्रैस कर सकता है, तो वास्तव में कौन सophisticated है?
क्रिप्टो ने फ्रांसीसी बैंक की चोरी नहीं की। बैंक की अपनी ढांचागत कमियों ने चोरी की। क्रिप्टो ने बस रसीद लिखी और उसे जांचकर्ताओं को सौंप दिया।
FAQ
Credit Mutuel Arkea कैसे हैक हुआ? हमलावरों ने एक थर्ड-पार्टी सर्विस प्रोवाइडर की प्लेटफ़ॉर्म में प्रवेश किया, फिर बैंक के अपने खातों का उपयोग करके अन्य बैंकों में धोखाधड़ी भरे वायर भेजे। बाद में इस धन को क्रिप्टोकरेंसी में बदल दिया गया। ग्राहक खातों तक पहुंच नहीं की गई।
Arkea से कितना चोरी हुआ? ZachXBT ने 118 मिलियन यूरो ($133 million) तक का अनुमान लगाया। बैंक ने केवल "महज़ा" की पुष्टि की, लगभग 100 मिलियन यूरो ($112.6 million), और 5 नवंबर को कहा कि वह धन को वापस प्राप्त करने के लिए अभी भी काम कर रहा है, यह बताए बिना कि वह कितना वापस उम्मीद कर रहा है। Kraken, Crypto.com और OKX ने संबंधित फंड्स को अवरुद्ध या फ्रीज़ कर दिया है।
क्या यह उत्तर कोरिया का लाज़ारस ग्रुप था? नहीं। जैक़ेक्सबीटी ने उच्च स्तर की विश्वासार्हता के साथ यह आकलन किया कि लॉन्ड्रिंग पैटर्न लाज़ारस ग्रुप से मेल नहीं खाते, बल्कि वे एक स्वतंत्र, परिष्कृत साइबर-अपराध गिरोह की ओर इशारा करते हैं जो वेंडर कंप्रोमाइज़ में विशेषज्ञता रखता है।
कौन से क्रिप्टो एक्सचेंज शामिल थे? Kraken, Crypto.com, और OKX. Kraken पर अनुमानित निर्यातों का बड़ा हिस्सा था (निश्चित कुल का लगभग 95%) और उसने funds को स्थानांतरित करने से रोक दिया; Crypto.com ने लिंक किए गए खातों को जमा कर दिया और OKX ने एक संस्थागत खाते को जमा कर दिया।
DORA क्या है और इसका यहाँ क्या महत्व है? EU's Digital Operational Resilience Act, जनवरी 2025 से लागू, वित्तीय कंपनियों को ICT और तीसरे पक्ष के जोखिम के लिए जिम्मेदार बनाता है, जिसमें सेवा प्रदाता के प्लेटफॉर्म के माध्यम से प्रवेश करने वाले उल्लंघन शामिल हैं, ठीक वैसे ही जैसे Arkea मामले में।
कृपया दोबारा प्रयास करें