L'enquêteur blockchain ZachXBT a désigné le groupe bancaire français Crédit Mutuel Arkéa comme victime présumée d'un vol de cryptomonnaies d'une valeur supérieure à 133 millions de dollars, à la suite de son enquête sur une série de retraits inhabituels effectués depuis des plateformes d'échange centralisées. Cet épisode illustre la manière dont l'investigation on-chain peut révéler des incidents potentiels avant même que l'institution touchée ne les reconnaisse publiquement.

Crédit Mutuel Arkéa n'a pas confirmé publiquement de lien avec ces transactions ni reconnu de pertes financières. Par conséquent, la violation alléguée, le montant impliqué et les liens de la banque avec cette activité restent non vérifiés.

Chronologie de l'enquête

Le 4 novembre, ZachXBT aurait identifié Crédit Mutuel Arkéa comme l'institution potentiellement touchée par les transactions suspectes. Le groupe bancaire détient environ 235 milliards de dollars d'actifs, ce qui ferait de ce vol présumé un événement notable pour le secteur financier traditionnel.

L'enquête a débuté le 2 novembre, lorsque ZachXBT a signalé plus de 106 millions de dollars de retraits de cryptomonnaies suspects. Les transactions auraient pour origine des comptes d'échange associés à une entité de l'Union européenne non identifiée, comme l'a rapporté CoinDesk. Des retraits d'une telle ampleur correspondent au type d'activité que les enquêteurs on-chain surveillent habituellement, car des flux inhabituellement rapides entre comptes d'échange peuvent signaler un accès non autorisé ou des comptes compromis.

Un jour plus tard, le 3 novembre, l'enquêteur a découvert 27 millions de dollars supplémentaires de retraits liés au même attaquant présumé, portant la valeur estimée du vol allégué au-dessus de 133 millions de dollars.

ZachXBT a également suggéré qu'une grande institution financière d'Europe de l'Ouest pourrait avoir omis de divulguer l'incident. Toutefois, aucune preuve indépendante n'a établi que la banque ait délibérément dissimulé une violation de sécurité.

Des fonds volés déplacés via Ethereum et Monero

L'analyse des transactions blockchain indique que l'attaquant présumé a d'abord retiré des fonds en stablecoins USDC et USDT — les deux tokens adossés au dollar les plus utilisés, dont les mouvements sur les blockchains publiques peuvent être suivis transaction par transaction. Les actifs ont ensuite été acheminés via Ethereum, des plateformes d'échange instantanées de cryptomonnaies et des ponts inter-chaînes, une combinaison d'étapes de routage susceptible de fragmenter la piste d'audit sur plusieurs réseaux et services.

Les enquêteurs ont également identifié des transactions impliquant Monero, une cryptomonnaie axée sur la confidentialité qui masque les détails des transactions. De tels transferts peuvent considérablement compliquer, pour les autorités, la traçabilité des actifs et la récupération des fonds volés.

ZachXBT a affirmé que la divulgation tardive avait permis à plus de 30 millions de dollars d'échapper aux mesures potentielles de récupération, et a suggéré que les forces de l'ordre européennes auraient pu geler certains actifs si elles avaient été notifiées plus tôt. Il a ajouté que les schémas de transactions semblaient incompatibles avec ceux habituellement associés au groupe Lazarus de Corée du Nord — ce collectif de pirates lié à l'État que les autorités américaines et alliées tiennent responsable de certains des plus importants vols de cryptomonnaies jamais enregistrés. L'identité de l'attaquant présumé demeure inconnue.

La confirmation de la banque reste essentielle

Ces allégations soulèvent des questions sur la conservation des cryptomonnaies, les pratiques de sécurité institutionnelle et les normes de signalement des incidents au sein de l'industrie financière européenne — un domaine désormais encadré pour les banques de l'UE par le Digital Operational Resilience Act, en application depuis janvier 2025, qui exige des entités financières qu'elles signalent aux régulateurs les incidents majeurs liés aux TIC. Néanmoins, des transactions blockchain suspectes ne suffisent pas à établir qu'une banque donnée a subi une perte financière confirmée.

Les autorités n'ont pas vérifié publiquement le vol allégué ni déterminé comment l'attaquant présumé a accédé aux comptes d'échange. Une confirmation supplémentaire de la part de Crédit Mutuel Arkéa, des plateformes d'échange de cryptomonnaies concernées ou des régulateurs sera essentielle pour établir l'ampleur réelle de l'incident. En attendant, les signaux les plus déterminants à surveiller incluent toute réponse publique de la banque, les divulgations des plateformes dont les comptes ont été utilisés, d'éventuelles actions des forces de l'ordre contre les fonds encore traçables, et l'identification éventuelle d'autres retraits liés au même attaquant présumé.