L'investigateur blockchain ZachXBT a identifié le groupe bancaire français Crédit Mutuel Arkéa comme la victime présumée d'un vol de cryptomonnaies dépassant 133 millions de dollars, dans le cadre de l'extension d'une enquête sur des retraits suspects depuis plusieurs comptes d'échanges centralisés.

Cette divulgation du 4 novembre a nommé l'institution après que des alertes antérieures ne faisaient mention que d'une cible européenne non identifiée. Crédit Mutuel Arkéa, l'un des plus grands groupes bancaires coopératifs de France, a été décrit par ZachXBT comme détenant environ 235 milliards de dollars d'actifs, et il a indiqué que l'attaque présumée s'était poursuivie pendant plusieurs jours, avec des pertes supplémentaires potentielles impliquant des transactions de gré à gré — des négociations conclues en privé, en dehors des échanges publics.

L'implication de la banque n'a pas été confirmée de manière indépendante. Aucune réponse publique portant sur cette allégation n'avait été identifiée au moment de la publication, et les divulgations n'établissent pas si les actifs concernés appartenaient à l'institution, à ses clients ou à une autre partie.

Des retraits supplémentaires portent les pertes estimées au-delà de 133 millions de dollars

L'alerte initiale de ZachXBT le 2 novembre faisait état de plus de 106 millions de dollars de pertes présumées sur des comptes d'échanges ciblés la veille. Les fonds ont été retirés en USDC et USDT, les deux plus importantes cryptomonnaies indexées sur le dollar, avant d'être déplacés via plusieurs services et blockchains.

Il a ensuite identifié plus de 27 millions de dollars de retraits supplémentaires, portant son estimation au-delà de 133 millions de dollars. Certains retraits sont survenus après sa première alerte publique, indiquant que les sorties de fonds présumées se sont poursuivies après que l'incident avait déjà attiré l'attention.

L'investigateur a publié 11 adresses suspectées de vol dans l'alerte initiale et quatre adresses supplémentaires dans la mise à jour. Il n'a pas nommé les échanges détenant les comptes concernés ni expliqué comment l'attaquant y avait obtenu un accès.

Le blanchiment présumé impliquait l'échange d'USDC contre de l'ether, le transfert de fonds via des échanges instantanés et la conversion d'actifs en Monero (XMR), une cryptomonnaie axée sur la confidentialité dont le protocole masque les détails des transactions. ZachXBT a cité WellWallet et Kyrrex parmi les services ayant reçu des transferts et a identifié Wagyu comme un canal de conversion en XMR. Ces observations décrivent le mouvement des fonds ; elles n'établissent pas que ces services ont participé sciemment au vol.

« Je soupçonne que le montant volé est plus important en tenant compte de l'activité de gré à gré », a écrit ZachXBT dans la mise à jour nommant Arkéa. Il n'a pas fourni d'estimation distincte pour ces transactions.

ZachXBT critique la divulgation tandis que l'attaquant reste non identifié

ZachXBT a également allégué qu'une divulgation inadéquate avait permis le blanchiment de plus de 30 millions de dollars que les forces de l'ordre européennes auraient autrement pu geler. Il a décrit une possible dissimulation comme hypothèse de travail, et non comme un constat établi. Ni la dissimulation délibérée ni le montant que les autorités auraient pu intercepter n'ont été vérifiés de manière indépendante. Le chiffre de 30 millions de dollars concerne des fonds prétendument déplacés durant l'incident, et non une perte distincte à ajouter à l'estimation de 133 millions de dollars. Le gel de cryptomonnaies volées exige généralement que les échanges, les émetteurs de stablecoins ou les services détenant les actifs agissent avant que les fonds ne sortent de leur contrôle.

L'attaquant reste non identifié. ZachXBT a déclaré être fortement convaincu que le groupe Lazarus — un collectif de pirates lié à la Corée du Nord que les autorités américaines tiennent pour responsable de certains des plus grands vols de cryptomonnaies du secteur — n'était pas à l'origine de l'attaque, invoquant plusieurs indicateurs de blanchiment. Il n'a pas détaillé publiquement ces indicateurs, et son évaluation ne constitue pas une attribution formelle des forces de l'ordre.

Ces divulgations font suite à la suspension des services de Mercado Bitcoin après une faille de sécurité et à l'attribution par le FBI du vol visant Binance à l'opération TraderTraitor de la Corée du Nord, ajoutant le vol présumé d'Arkéa à une série récente d'incidents de sécurité dans le secteur des actifs numériques. Les publications de ZachXBT ne fournissent aucune preuve reliant l'incident présumé d'Arkéa à l'un ou l'autre de ces cas.

Cette dernière mise à jour n'établit pas comment les comptes d'échanges ont été compromis, si l'accès non autorisé a été contenu, ni quelle quantité de cryptomonnaies a été gelée ou récupérée. Que Crédit Mutuel Arkéa réponde publiquement à l'allégation, que d'autres retraits ou adresses soient révélés, et que les autorités européennes ou les services nommés agissent pour geler des fonds liés à l'incident constituent les développements clés à surveiller.