La banque française Crédit Mutuel Arkéa a confirmé mercredi qu'une cyberattaque avait permis à des pirates d'effectuer des virements frauduleux depuis le propre compte de la banque — un vol que l'investigateur on-chain ZachXBT estime à plus de 133 millions de dollars, un chiffre que la banque n'a pas confirmé.

L'établissement basé en Bretagne a indiqué dans un communiqué que l'incident était sous contrôle, que les opérations reprenaient et que les actifs des clients n'étaient pas affectés. Il a suspendu certaines transactions par précaution.

« Cet incident n'a eu aucun impact sur les actifs (des clients) et n'a provoqué qu'un retard dans l'exécution de certains virements », a déclaré la banque sur son site internet, dans une traduction publiée par Reuters.

Dans une note de questions-réponses complémentaire, Crédit Mutuel Arkéa a précisé que les attaquants étaient passés par la plateforme de l'un de ses prestataires de services pour atteindre directement la banque. Ils ont utilisé le propre compte de la banque pour envoyer des transactions vers d'autres banques, ce qui leur aurait ensuite potentiellement permis de convertir l'argent en cryptomonnaies via des plateformes spécialisées, selon la banque.

Aucun compte client de ses fédérations ou filiales n'a été utilisé, selon la banque. Elle a également démenti les rapports de la presse française selon lesquels les attaquants seraient entrés via Fortuneo, sa filiale de banque en ligne, décrivant l'incident comme « une attaque sophistiquée venant de l'extérieur » plutôt que le résultat d'une erreur humaine.

L'ampleur de la perte

La banque n'a pas communiqué de chiffre définitif. Interrogée sur le vol de 118 millions d'euros, soit 133 millions de dollars, elle a indiqué ne pas confirmer ce chiffre et ne pouvoir que « valider l'ordre de grandeur ».

Une partie des fonds concernés a été gelée et d'autres démarches sont en cours pour récupérer le reste, a indiqué la banque. Elle a ajouté que les montants en jeu ne sont « absolument pas » suffisamment importants pour menacer sa santé financière ou sa solidité.

L'AFP a rapporté que la banque avait estimé provisoirement l'attaque à environ 100 millions d'euros. Plus tôt mercredi, Reuters a rapporté que la banque avait indiqué que ses pertes étaient inférieures à 133 millions de dollars. « Il est encore trop tôt pour donner un chiffre définitif », a déclaré un porte-parole à l'agence.

Ce que ZachXBT a rapporté

ZachXBT a signalé l'incident pour la première fois lundi sans nommer la victime. Écrivant sur son canal Telegram, il a indiqué qu'une entité de l'UE serait soupçonnée d'avoir perdu plus de 106 millions de dollars sur plusieurs comptes d'exchanges centralisés le 1er novembre, les fonds ayant été retirés en USDC et USDT. Les fonds ont ensuite été échangés contre de l'ether et déplacés sur plusieurs chaînes, a-t-il dit.

Dans une mise à jour, il a déclaré avoir trouvé 27 millions de dollars ou plus supplémentaires en retraits d'exchange, portant le total à plus de 133 millions de dollars. Un message ultérieur a désigné Crédit Mutuel Arkéa comme la victime présumée. Il a écrit que l'attaque « s'est déroulée sur plusieurs jours » et qu'il soupçonne que le montant volé est plus élevé une fois l'activité de gré à gré prise en compte.

La banque n'a confirmé ni son chiffre ni sa chronologie. Elle n'a pas non plus indiqué quand l'attaque a commencé, qui en est à l'origine ni si des données ont été dérobées. Crédit Mutuel Arkéa travaille avec les autorités judiciaires et policières pour déterminer l'origine de l'attaque et son mode opératoire, et a déclaré avoir informé ses superviseurs dès la détection de l'attaque. La banque a également mis en garde ses clients contre d'éventuelles tentatives de phishing à la suite de l'incident.

Présentation de la banque

Crédit Mutuel Arkéa, qui regroupe les fédérations Crédit Mutuel de Bretagne et du Sud-Ouest, fait partie du groupe Crédit Mutuel au sens large. Elle compte 5,8 millions de clients et 211,5 milliards d'euros, soit environ 238 milliards de dollars, d'actifs, a rapporté Reuters. Elle a dégagé un bénéfice net de 230 millions d'euros au premier semestre de l'année, selon l'AFP.

Ce piratage survient moins d'une semaine après le piratage record de 6,34 milliards de dollars de Binance, que des sociétés d'analyse blockchain ont attribué à la Corée du Nord. ZachXBT a déclaré dans son premier message qu'il était très confiant que cet incident n'était pas l'œuvre du groupe Lazarus, en Corée du Nord. Par ailleurs, Mercado Bitcoin au Brésil a gelé les dépôts et les retraits cette semaine après un incident de sécurité.

La part des fonds que la banque pourra récupérer, ainsi que le montant final de la perte liée à l'incident, restent indéterminés.

Cet article est d'abord paru sur Bitcoin Magazine et a été rédigé par Micah Zimmerman.