Le Crédit Mutuel Arkéa, groupe bancaire français qui gère près de 235 milliards de dollars d’actifs, a été au cœur d’une affaire de cybercriminalité d’une ampleur exceptionnelle. Le 1er novembre, des fonds en stablecoins (USDC et USDT) ont été siphonnés depuis des comptes liés à la banque, puis introduits dans un enchaînement d’échanges rapides. L’enquêteur on-chain ZachXBT a publié le 2 novembre une analyse détaillée, estimant le préjudice à 133 millions de dollars, soit plus de 118 millions d’euros.
Chronologie des transferts et utilisation de plateformes d’échange
Les premiers mouvements ont eu lieu le 1er novembre, lorsqu’environ 63 millions de dollars de stablecoins ont été échangés contre 27 553 ETH en moins de quatre heures, selon la société d’analyse Bitquery. Les transactions ont transité par les bourses Kraken, et OKX, puis par des services d’échange instantané tels que WellWallet et Kyrrex. Peu après, les ETH ont été convertis en Monero via la plateforme Wagyu, un processus qui masque les montants et les destinataires, rendant la traçabilité très difficile.
Conséquences juridiques et gel partiel des actifs
Le choix du Monero a considérablement ralenti l’enquête, car cette monnaie privilégie l’anonymat. Bitquery indique que la plupart des fonds avaient déjà quitté les portefeuilles identifiés dès le lundi soir. Tether a gelé une portion des USDT concernés, tandis que Circle se réserve le droit de bloquer une petite part des USDC restants. ZachXBT estime que plus de 30 millions de dollars ont été blanchis avant que les autorités européennes ne puissent les saisir, reprochant à la banque un manque de communication rapide.
Réaction du Crédit Mutuel Arkéa et mesures prises
Le groupe a confirmé le 4 novembre une cyberattaque qui a engendré des opérations frauduleuses, tout en assurant que les avoirs des clients n’étaient pas affectés et que seule la fluidité de certains virements était impactée. Les montants restent en cours d’évaluation, mais la banque affirme qu’ils ne menacent pas la solidité financière du groupe. Les autorités de supervision ont été informées, et les plateformes concernées (Kraken, OKX) ont bloqué ou limité les comptes liés aux transferts suspectés.
En parallèle, Daniel Baal, président de la Confédération Nationale du Crédit Mutuel, a déclaré le 6 novembre que « une partie » des fonds avait déjà été récupérée, sans préciser le chiffre exact. Il a rappelé que les comptes particuliers n’avaient pas été touchés et que la garantie des dépôts restait en place.
Analyse des motivations et pistes d’enquête
ZachXBT a exclu, sur la base des flux observés, une implication directe du groupe nord-coréen Lazarus, souvent évoqué dans les affaires de cryptovol. Il suspecte néanmoins une activité « OTC » (over-the-counter) plus importante que ce qui a été initialement détecté, ce qui pourrait porter le préjudice au-delà des 133 millions de dollars annoncés. Le mode opératoire rappelle des précédents, comme le gel de fonds après le piratage de Bitget l’an dernier.
Le Crédit Mutuel Arkéa avait pourtant déposé en mai une demande de licence MiCA pour proposer des services liés aux cryptomonnaies à sa clientèle de particuliers. Cette affaire soulève donc des questions sur la préparation des établissements financiers traditionnels face aux risques spécifiques du secteur numérique.
L’incident montre comment des acteurs malveillants peuvent exploiter la vitesse et la fluidité des stablecoins pour masquer un détournement massif, puis se dissimuler derrière des monnaies privées comme le Monero. La réponse de la banque, mêlant confinement de l’incident et communication progressive, illustre les enjeux de transparence et de résilience que doivent désormais maîtriser les institutions financières classiques.
