Le groupe bancaire français Crédit Mutuel Arkéa a confirmé avoir été frappé par une cyberattaque ayant permis des opérations frauduleuses, un jour après que ZachXBT, un investigateur onchain pseudonyme connu pour traçer les fonds cryptographiques volés, a désigné la banque comme victime présumée d'un vol de cryptomonnaies de plus de 133 millions de dollars.

Dans un communiqué partagé avec Decrypt mercredi, Crédit Mutuel Arkéa a indiqué que l'incident était « clos et désormais sous contrôle ». La banque a précisé que les opérations reprenaient progressivement après la mise en place de mesures de sécurité renforcées, et que les actifs des clients n'avaient pas été affectés. L'attaque a retardé l'exécution de certains virements, a-t-elle déclaré.

La banque n'a pas mentionné les cryptomonnaies ni divulgué le montant dérobé. Elle a indiqué que les montants concernés étaient encore en cours d'évaluation, mais qu'ils n'étaient « en aucun cas de nature à remettre en cause la solidité et la santé financière du groupe », selon la traduction de Decrypt.

Crédit Mutuel Arkéa a déclaré avoir informé les autorités de supervision compétentes dès la détection de l'attaque. Elle a également suspendu temporairement certaines transactions par précaution afin de prévenir d'autres mouvements frauduleux et a averti ses clients de rester vigilants face aux tentatives de phishing à la suite de l'incident — un risque de suivi courant après des violations rendues publiques, lorsque des fraudeurs se font passer pour l'institution touchée. Decrypt a indiqué avoir contacté la banque pour obtenir des précisions, notamment sur la question de savoir si les pertes impliquaient des actifs cryptographiques.

Les allégations de ZachXBT

« L'institution financière de l'UE exploitée pour plus de 133 M$ serait selon toute vraisemblance Credit Mutuel Arkea, une banque française disposant de 235 Md$ d'actifs », a écrit ZachXBT sur son canal Telegram mardi : https://t.me/investigations/375

« L'attaque contre la banque s'est déroulée sur plusieurs jours. Je suspecte que le montant volé est plus important en tenant compte de l'activité de gré à gré », a-t-il ajouté.

ZachXBT a signalé pour la première fois le vol suspecté lundi, indiquant qu'une entité non nommée de l'Union européenne aurait perdu plus de 106 millions de dollars sur des comptes de plusieurs plateformes d'échange de cryptomonnaies le 1er novembre. Selon son message initial, les fonds ont été retirés en USDC et USDT. L'attaquant a ensuite échangé de l'USDC contre de l'ETH, déplacé des fonds via des plateformes d'échange instantané, converti une partie des actifs en Monero, la cryptomonnaie de confidentialité bien plus difficile à tracer que les chaînes transparentes comme Ethereum car son registre masque les expéditeurs, les destinataires et les montants — et transféré des fonds via plusieurs réseaux blockchain, un schéma de blanchiment couramment utilisé dans les grands vols de cryptomonnaies pour fragmenter les transactions et masquer l'origine des fonds volés.

Dans une mise à jour mardi, ZachXBT a indiqué avoir identifié 27 millions de dollars supplémentaires de retraits sur des plateformes par l'attaquant, portant le total à plus de 133 millions de dollars. Il a précisé que certains de ces retraits ont eu lieu après sa divulgation initiale et a publié quatre adresses Ethereum qu'il dit liées au vol : https://t.me/investigations/374

« Ma théorie de travail est qu'une grande institution financière d'Europe de l'Ouest a été exploitée et que c'est actuellement étouffé », a écrit ZachXBT dans son signalement initial. Il a accusé l'institution de ne pas avoir procédé à une « divulgation d'incident appropriée », empêchant ainsi les forces de l'ordre de geler environ 30 millions de dollars de fonds volés.

ZachXBT n'a pas expliqué comment il avait identifié la banque ni comment l'attaquant avait accédé à ses comptes d'échange. Il a également indiqué que l'attaquant suspecté reste non identifié. Toutefois, il a écrit pouvoir dire « avec un haut degré de confiance que ce n'est PAS le groupe Lazarus », le collectif de hackers nord-coréens, « sur la base de multiples indicateurs de blanchiment ».

L'allégation fait suite à des rapports indiquant que Crédit Mutuel Arkéa se préparait à entrer dans le secteur des cryptomonnaies. En mai, le quotidien financier français L'Agefi a rapporté que le groupe avait demandé une licence sous MiCA — le cadre réglementaire européen des cryptomonnaies, qui a créé un régime de licences paneuropéen pour les prestataires de services d'actifs cryptographiques — afin d'offrir des services cryptographiques à ses clients particuliers et de les fournir en marque blanche via sa division Arkéa Banking Services :

L'allégation intervient également quelques jours après le piratage de 6,3 milliards de dollars de Binance, décrit dans le rapport source comme le plus grand vol de cryptomonnaies jamais enregistré. Le FBI a attribué cette attaque à des hackers nord-coréens. ZachXBT a déclaré que le vol suspecté dans l'UE ne semble pas avoir été perpétré par le groupe Lazarus sur la base des indicateurs de blanchiment qu'il a examinés.

Plusieurs questions restent en suspens : l'évaluation des montants concernés par la banque est en cours, celle-ci n'a pas indiqué si des actifs cryptographiques figuraient parmi les pertes, et ZachXBT a déclaré que le total pourrait être plus élevé une fois l'activité de gré à gré prise en compte.

Cet article a été mis à jour pour intégrer les commentaires de Crédit Mutuel Arkéa.