Crédit Mutuel Arkéa confirme une cyberattaque, mais pas le montant de 133 millions de dollars avancé par l’enquêteur spécialisé ZachXBT. Selon les informations rapportées par Cryptoast, le groupe bancaire aurait subi des opérations frauduleuses dont les fonds auraient ensuite été convertis en cryptomonnaies. Fortuneo, sa banque en ligne, serait au cœur du circuit de virements décrit par le journaliste Grégory Raymond. Le point de départ exact de la fraude reste cependant à établir.
L’affaire met en lumière une articulation sensible de la finance numérique : de l’argent détourné dans le système bancaire traditionnel peut rejoindre rapidement des plateformes d’échange, puis circuler entre plusieurs réseaux blockchain. L’établissement assure que les avoirs de ses clients sont protégés et que l’incident est maîtrisé. L’enquête doit désormais préciser les pertes, identifier la faille initiale et déterminer quelle part des sommes peut encore être immobilisée.
En bref
- Une attaque reconnue : le groupe confirme des opérations frauduleuses, sans communiquer de préjudice définitif.
- Un montant encore estimatif : ZachXBT évoque plus de 133 millions de dollars de mouvements suspects.
- Une origine bancaire présumée : les fonds auraient été détournés en monnaie traditionnelle avant leur conversion en actifs numériques.
- Des avoirs clients protégés : la banque affirme que l’incident n’entraîne aucune perte financière pour sa clientèle.
- Plusieurs acteurs mobilisés : autorités, analystes blockchain et plateformes d’échange cherchent à retracer et bloquer les fonds.
Cyberattaque au Crédit Mutuel Arkéa : ce que la banque confirme
Dans les déclarations rapportées par Cryptoast, Crédit Mutuel Arkéa reconnaît une attaque ayant permis des transactions frauduleuses. Le groupe indique avoir alerté les autorités compétentes et ses superviseurs, mobilisé ses équipes et suspendu temporairement certaines opérations pour empêcher de nouveaux détournements.
Une communication ultérieure fait état d’une reprise progressive des opérations après le renforcement des protections. Certains virements ont été retardés, mais l’établissement affirme que les avoirs des clients n’ont pas été affectés et que les pertes ne remettent pas en cause sa solidité financière.
Pour un client attendant un transfert, cette distinction est essentielle : un retard de traitement ne signifie pas que son compte a été vidé. La confirmation de l’incident ne valide pas non plus automatiquement tous les montants ou scénarios publiés autour de l’affaire.
133 millions de dollars : comment comprendre l’estimation de ZachXBT ?
Selon les éléments fournis, ZachXBT a d’abord signalé, le 2 novembre, plus de 106 millions de dollars de retraits suspects en USDC et USDT, deux stablecoins indexés sur le dollar. L’identification d’environ 27 millions supplémentaires l’a ensuite conduit à relever son estimation au-delà de 133 millions de dollars.
Ces chiffres correspondent à son analyse des flux, et non à un bilan comptable publié par l’établissement. L’enquêteur évoque aussi de possibles opérations de gré à gré, tandis que Grégory Raymond rapporte l’existence présumée d’autres circuits ne passant pas par les actifs numériques.
| Élément | Information rapportée | Point à distinguer |
|---|---|---|
| Attaque et opérations frauduleuses | Confirmées par le groupe bancaire | Le mécanisme initial n’est pas détaillé |
| Plus de 133 millions de dollars | Estimation attribuée à ZachXBT | Le préjudice définitif n’est pas confirmé |
| Passage par Fortuneo | Scénario décrit par Grégory Raymond | Le point d’entrée reste à établir |
| Absence de pertes pour les clients | Assurance donnée par la banque | Des retards opérationnels ont néanmoins été signalés |
Le montant de 118 millions d’euros également cité dans les informations disponibles doit être compris comme une conversion indicative. Le suivi de transactions suspectes et l’évaluation d’une perte nette sont deux exercices différents, notamment lorsque des fonds peuvent être gelés ou récupérés.
Fortuneo : un piratage informatique ou une fraude par manipulation ?
D’après les informations attribuées à Grégory Raymond, les fraudeurs auraient pu émettre des virements depuis Fortuneo en renseignant le nom du bénéficiaire. Les sommes auraient rejoint des comptes ouverts sur des plateformes crypto sous de fausses identités ayant franchi les contrôles de connaissance client, ou KYC.
Le mécanisme décrit repose sur une concordance apparente : le nom porté par le virement aurait correspondu à celui du compte destinataire. Une identité cohérente entre deux systèmes ne garantit pourtant ni son authenticité ni la légitimité du paiement.
Deux hypothèses sont évoquées pour expliquer le déclenchement des transferts : une compromission des systèmes de paiement ou une manipulation humaine comparable à l’arnaque au président. Dans ce second cas, un salarié est trompé par une personne usurpant l’identité d’un dirigeant ; les éléments disponibles ne permettent pas de départager ces scénarios.
Il serait donc prématuré de présenter l’affaire comme le piratage de comptes crypto appartenant à la banque. Les problématiques de protection des comptes sur les plateformes d’échange constituent un sujet connexe, mais ne démontrent pas le point d’entrée de cette attaque : la sécurité bancaire dépend aussi de l’autorisation des paiements en amont.
Des stablecoins à Monero : la piste des cryptomonnaies
Selon l’analyse de Bitquery citée dans les informations disponibles, environ 62,98 millions de dollars en stablecoins auraient été échangés contre 27 553 ETH en quatre heures, via UniswapX. Ces chiffres concernent une séquence de conversion identifiée, pas nécessairement l’ensemble des fonds détournés.
Les actifs auraient ensuite circulé entre plusieurs réseaux et services d’échange, notamment WellWallet et Kyrrex. Une partie aurait été convertie en Monero, dont les mécanismes de confidentialité compliquent le suivi public des transactions.
Pourquoi multiplier les conversions ? Chaque étape peut disperser les avoirs et rendre leur immobilisation plus difficile, même si les mouvements réalisés sur des blockchains publiques laissent des traces exploitables. Traçabilité ne signifie pas récupération automatique.
L’expression vol de cryptoactifs mérite ici une nuance : selon le scénario rapporté, le détournement aurait commencé en monnaie traditionnelle, les jetons servant ensuite au déplacement et au blanchiment présumé des sommes. Cette différence est importante pour ne pas confondre l’affaire avec une attaque visant des clés de cryptomonnaies.
Enquête et sécurité bancaire : la course au gel des fonds
Kraken affirme avoir restreint des comptes associés à l’incident, tandis que Crypto.com indique avoir bloqué des fonds liés à l’affaire. Les deux plateformes déclarent que leurs propres dispositifs de sécurité n’ont pas été compromis : recevoir des transactions suspectes ne signifie pas avoir été piraté.
ZachXBT estime qu’une alerte plus rapide aurait pu permettre de geler plus de 30 millions de dollars. Cette appréciation lui appartient : elle ne constitue ni un montant récupéré ni une responsabilité établie à l’encontre du groupe bancaire.
L’analyste se dit également fortement convaincu que les auteurs ne sont pas liés au groupe nord-coréen Lazarus. L’attribution demeure toutefois un volet de l’enquête, distinct de l’identification des adresses utilisées pour déplacer l’argent.
Après la cyberattaque, prévenir les tentatives de phishing
Le risque de cybercriminalité ne s’arrête pas aux opérations initiales. La banque appelle ses clients à se méfier des messages exploitant l’incident pour obtenir des identifiants, des codes de validation ou un transfert présenté comme une mesure de protection.
Un client recevant une demande urgente de « sécuriser ses fonds » doit vérifier la situation depuis son application habituelle ou les coordonnées officielles de son établissement, sans utiliser le lien reçu. Une actualité bancaire inquiétante ne doit jamais devenir un motif pour valider une opération sous pression.
