Le chercheur on-chain ZachXBT, connu pour suivre les piratages et les fonds volés sur les blockchains, a identifié le groupe bancaire français Crédit Mutuel Arkéa comme l'entité européenne à l'origine d'environ 133 millions de dollars de sorties de cryptomonnaies suspectes qu'il a suivies au cours des derniers jours. Ces conclusions suggèrent qu'une grande institution européenne a été compromise, et la banque française n'a pas immédiatement commenté.

Les pertes proviendraient des portefeuilles de cryptomonnaies de Crédit Mutuel Arkéa, une marque régionale du plus vaste groupe Crédit Mutuel. L'entité bancaire détient plus de 235 milliards de dollars d'actifs au total, la cryptomonnaie ne représentant qu'une faible partie de son portefeuille. L'attaque contre les portefeuilles s'est étendue sur plusieurs jours et comprenait des échanges on-chain et d'autres opérations, et ZachXBT recherche toujours d'autres pertes et tentatives de blanchiment des fonds.

L'empreinte de Crédit Mutuel Arkéa s'étend au-delà de la banque et de l'assurance. Le groupe fournit des services bancaires et du traitement de paiements en marque blanche pour les fintechs et les néobanques, dont certaines détiennent des cryptomonnaies — notamment Stripe. Sa filiale, Arkéa Banking Services (ABS), propose des transferts SEPA, des rampes d'accès aux devises et des comptes pour les fintechs conformes à MiCAR — c'est-à-dire les sociétés opérant dans le cadre du règlement européen sur les marchés des crypto-actifs. La banque et ses filiales n'ont pas divulgué leurs avoirs en cryptomonnaies ni leurs portefeuilles publics, ce qui explique pourquoi les transactions suspectes n'ont été détectées qu'en surveillant certains des échanges centralisés les plus utilisés.

Des fonds déplacés via des échanges centralisés

L'attaque a drainé des fonds d'une série de comptes d'échanges centralisés. Le 2 novembre, ZachXBT a identifié 106 millions de dollars de pertes sur plusieurs comptes d'échanges centralisés, les fonds ayant été retirés en USDC et USDT, les stablecoins émis respectivement par Circle et Tether.

L'acteur malveillant a ensuite échangé de l'USDC contre de l'ETH via des échanges instantanés, notamment WellWallet et Kyrrex, entre autres. Une partie des fonds a été convertie en Monero (XMR), un actif axé sur la confidentialité qui masque les détails des transactions par conception, via Wagyu Wallet, puis transférée vers d'autres chaînes.

ZachXBT a souligné que ce modèle de blanchiment ne correspond pas aux procédures habituelles du groupe Lazarus, le collectif de hackers attribué à la Corée du Nord. Les pirates nord-coréens déplacent généralement rapidement les fonds volés via des opérations on-chain, le plus souvent en utilisant Ethereum et ses mixers, ce qui rend les échanges via des plateformes centralisées inhabituels comme schéma de blanchiment.

Des retraits concentrés sur des comptes Kraken

Sur la base des portefeuilles de l'acteur malveillant agrégés par ZachXBT, une partie des fonds a été retirée d'un hot wallet Kraken, puis divisée en réserves plus petites et déplacée vers de nouvelles adresses. Après une journée d'attaques, Kraken a restreint les portefeuilles liés à l'exploit, bien que les fonds n'aient pas été gelés — une restriction qui suspend l'activité via les comptes signalés mais laisse les tokens eux-mêmes intacts.

La première vague d'attaques a utilisé 11 nouveaux portefeuilles, retirant principalement des fonds du hot wallet de Kraken. Plusieurs transactions provenaient également de portefeuilles Crypto.com et OKX, suggérant plusieurs comptes compromis. Une deuxième vague de retraits a déplacé 27 millions de dollars supplémentaires, touchant là encore principalement des portefeuilles Kraken.

Les retraits des échanges ont continué même après l'annonce initiale de ZachXBT, sans commentaire immédiat de la banque française. « Ma théorie de travail est qu'une grande institution financière d'Europe occidentale a été exploitée et que cela fait actuellement l'objet d une dissimulation », a commenté ZachXBT via son canal Telegram. À ce jour, a-t-il souligné, plus de 30 millions de dollars ont déjà été blanchis, sans signe de gel d'actifs par les forces de l'ordre de l'UE.

L'acteur malveillant devenu une baleine ETH

L'attaquant inconnu a également attiré l'attention des explorateurs on-chain au cours de la dernière semaine en agissant comme un acheteur d'ETH à grande échelle. Le premier signe fut un portefeuille inconnu achetant 27 553 ETH à un prix moyen de 2 286 $ par ETH. Après la récente baisse des prix, l'entrée massive de baleines n'était pas inhabituelle, et ce n'est que plus tard que l'adresse de la baleine a été identifiée comme étant liée à l'exploit en cours.

Au lieu de conserver l'ETH en réserves, le portefeuille a commencé à blanchir les fonds via plusieurs applications et plateformes.

Malgré les retraits en USDC et USDT, les stablecoins n'ont pas été gelés. Cette décision contraste avec la réaction rapide au récent piratage de Binance, où Circle et Tether ont immédiatement gelé les adresses des exploiteurs signalées. Que l'un ou l'autre émetteur applique le même traitement aux adresses liées à cette affaire, et que Crédit Mutuel Arkéa s'exprime publiquement sur cette violation, restent des questions sans réponse.