Au tout début du mois de novembre 2026, une alerte émise sur Telegram a mis en lumière un incident majeur impliquant le groupe bancaire français Crédit Mutuel Arkéa. Un analyste on-chain, connu sous le pseudonyme ZachXBT, a indiqué que plus de 133 millions de dollars en stablecoins avaient été transférés depuis des comptes associés à la banque, faisant de cet épisode l’un des plus importants vols de crypto-actifs découvert dans le secteur bancaire.
L’enquête a montré que les fonds ont été extraits en plusieurs étapes, à la fois depuis des plateformes d’échange centralisées et via des opérations de gré à gré (OTC). Le processus, qui s’est déroulé sur plus d’une journée, a été orchestré de manière à masquer l’origine des virements et à compliquer toute tentative de gel rapide.
Déroulement de l’attaque
Retraits provenant des plateformes d’échange
Le premier mouvement a été repéré à 12h25 UTC le 1er novembre, lorsqu’un montant de 108,8 M$ en USDC a quitté le portefeuille de la banque via la plateforme Kraken. Quelques minutes plus tard, un second retrait a transité par OKX, suivi d’opérations similaires sur. En tout, quinze adresses distinctes ont reçu les fonds en moins de 24 heures, et Kraken a concentré près de 95 % du total avec 178 transactions distinctes. Au moment où l’alerte a été publiée, 98 % des sommes avaient déjà quitté la chaîne d’émission.
Conversion et blanchiment
Une fois les stablecoins en main, le cyber-criminel les a rapidement convertis en Ethereum (ETH) via le routeur décentralisé UniswapX, soit 27 553 ETH évalués à environ 63 M$ en quelques heures. La seconde phase a consisté à transférer ces ETH vers des services d’échange instantanés tels que Kyrrex ou WellWallet, avant d’en cypher une partie dans Monero (XMR), une crypto-devise reconnue pour son anonymat. Cette chaîne d’opérations ressemble à un manuel de blanchiment: conversion rapide, division entre différents protocoles et finalisation sur une blockchain difficilement traçable.
Traçage des fonds grâce à l’analyse on-chain
L’identification du schéma a été rendue possible grâce à l’outil Bitquery, qui a permis de suivre chaque transaction depuis les portefeuilles d’échange jusqu’aux adresses de destination. ZachXBT a élargi son estimation initiale de 106 M$ à plus de 133 M$ après avoir découvert un second lot de 27 M$ de retraits, incluant des mouvements post-alerte. Le chercheur a également exclu tout lien avec le groupe nord-coréen Lazarus, estimant l’opération comme indépendante.
Réactions de Crédit Mutuel Arkéa et cadre réglementaire
Face à la situation, le groupe a confirmé le caractère « maîtrisé » de l’incident, tout en assurant que les comptes de ses clients n’ont subi aucune perte. Un porte-parole a déclaré que les autorités compétentes, ainsi que les organismes de supervision, avaient été informés dès la détection, conformément à la directive européenne DORA, qui oblige les banques à signaler tout incident informatique majeur dans les 24 heures. Cependant, aucune communication officielle n’a été publiée avant le 4 novembre, ce qui a suscité des critiques quant au respect du timing imposé.
Parallèlement, Crédit Mutuel Arkéa avait déposé en mai une demande d’agrément MiCA afin de proposer des services de crypto-actifs à ses 5,6 millions de clients. Le vol met ainsi en exergue la nécessité d’une gouvernance robuste autour des actifs numériques, surtout pour un groupe dont le bilan atteignait 211,6 M€ fin 2025. Le groupe a annoncé le gel temporaire de certaines transactions et le renforcement de ses contrôles internes, tout en invitant ses clients à rester vigilants face à d’éventuelles tentatives de phishing liées à l’incident.
Le cas du Crédit Mutuel Arkéa illustre la vulnérabilité croissante des établissements financiers traditionnels face aux menaces du monde de la cryptomonnaie. Il souligne également l’importance d’une surveillance en temps réel, d’un cadre réglementaire adaptable et d’une communication transparente pour limiter les pertes potentielles et maintenir la confiance des déposants.
