Crédit Mutuel Arkéa a confirmé qu'une cyberattaque avait permis des opérations frauduleuses au sein du groupe bancaire français, un jour après que l'enquêteur on-chain ZachXBT — un chercheur pseudonyme connu pour documenter publiquement les grands vols de cryptomonnaies — l'a identifié comme la victime présumée d'un vol de cryptomonnaies dépassant 133 millions de dollars. La banque a indiqué que l'incident était sous contrôle et que les actifs des clients n'étaient pas affectés, mais elle n'a pas divulgué le montant dérobé ni confirmé des pertes en cryptomonnaies.

Selon le groupe, les opérations reprennent progressivement après l'introduction de mesures de sécurité renforcées. Certains virements avaient été retardés, et la banque a temporairement suspendu certaines transactions afin de prévenir d'autres mouvements frauduleux.

« Clos et désormais sous contrôle »

Dans un communiqué partagé avec Decrypt mercredi, Crédit Mutuel Arkéa a décrit l'incident comme « clos et désormais sous contrôle ». La banque a déclaré avoir informé les autorités de supervision concernées dès qu'elle a détecté l'attaque, et elle a averti ses clients de rester vigilants face aux tentatives de phishing à la suite de l'incident, dans lesquelles des attaquants se font passer pour des institutions de confiance afin d'obtenir des identifiants ou des fonds.

Les montants en jeu n'étaient « en tout état de cause pas de nature à remettre en question la solidité et la santé financière du groupe », a ajouté la banque, selon la traduction de Decrypt. Le communiqué ne mentionnait pas les cryptomonnaies et ne donnait aucun chiffre concernant le montant dérobé. Decrypt a indiqué avoir demandé au groupe si les pertes impliquaient des cryptos.

La confirmation faisait suite à l'identification publique par ZachXBT de Crédit Mutuel Arkéa comme l'institution qu'il pensait avoir été ciblée. Dans une publication Telegram mardi, il a nommé le groupe et allégué un vol de plus de 133 millions de dollars, indiquant que l'attaque s'était étendue sur plusieurs jours et que le total pourrait être plus élevé une fois l'activité de gré à gras prise en compte.

Le récit des retraits selon ZachXBT

ZachXBT a évoqué pour la première fois le vol suspecté lundi. Il a déclaré qu'une entité de l'Union européenne non nommée aurait perdu plus de 106 millions de dollars sur des comptes de plusieurs plateformes de cryptomonnaies le 1er novembre, les fonds ayant été retirés en USDC et USDT, deux stablecoins adossés au dollar.

Selon l'enquêteur, l'attaquant a ensuite échangé de l'USDC contre de l'ETH, déplacé des fonds via des plateformes instantanées, converti une partie en Monero, une cryptomonnaie axée sur la confidentialité qui masque les détails des transactions, et transféré des actifs entre plusieurs blockchains. Il a indiqué plus tard avoir identifié 27 millions de dollars supplémentaires en retraits d'échanges, portant le total rapporté à plus de 133 millions de dollars, certains retraits ayant eu lieu après sa divulgation initiale.

ZachXBT a également publié quatre adresses Ethereum qu'il a dit liées au vol. Il n'a pas expliqué comment il avait identifié la banque ni comment l'attaquant avait accédé aux comptes d'échange, et le communiqué de la banque n'a ni confirmé ces détails ni relié les opérations frauduleuses aux mouvements de cryptomonnaies allégués.

L'enquêteur a en outre accusé l'institution de manquer de « divulgation d'incident appropriée », affirmant que cette défaillance avait empêché les forces de l'ordre de geler environ 30 millions de dollars de fonds dérobés. Ces déclarations demeurent des allégations de ZachXBT, et le rapport source n'incluait pas de réponse de la banque à cette accusation.

Des projets de licence MiCA rapportés

L'allégation a surgi alors que le groupe bancaire se prépare à se développer dans les services cryptos. Le journal financier français L'Agefi a rapporté en mai que Crédit Mutuel Arkéa avait demandé une licence dans le cadre du règlement européen MiCA (Markets in Crypto-Assets), le régime de licence de l'UE pour les prestataires de services d'actifs numériques. Le plan rapporté était d'offrir des services aux clients particuliers via Arkéa Banking Services sous forme de marque blanche. La banque n'a pas relié l'incident à ses projets cryptos rapportés.

Decrypt a rapporté l'allégation quelques jours après le piratage de Binance de 6,3 milliards de dollars, attribué par le FBI à des hackers nord-coréens. ZachXBT a déclaré que l'attaquant suspecté dans l'affaire de l'UE restait non identifié et qu'il pouvait écarter le groupe Lazarus, le collectif de hackers lié à la Corée du Nord, avec un « haut degré de confiance », citant plusieurs indicateurs de blanchiment.

La banque a indiqué que certaines opérations reprenaient progressivement après le renforcement des mesures de sécurité. Le montant affecté reste en cours d'évaluation, et le groupe n'a pas confirmé si des cryptomonnaies étaient impliquées. Le récit des retraits d'échanges par ZachXBT demeure une allégation dans le reportage, et la méthode par laquelle l'attaquant a accédé aux comptes d'échange n'a pas été expliquée. Les points à suivre sont l'évaluation finale des pertes par le groupe, sa réponse sur l'implication éventuelle de cryptomonnaies, et la capacité des forces de l'ordre à geler ou récupérer une partie des fonds.