Piratage Crédit Mutuel Arkéa : jusqu'à 118 millions d'euros détournés
Le Crédit Mutuel Arkéa, dont le siège est au Relecq-Kerhuon (Finistère), a annoncé mercredi 4 novembre avoir été victime d'une attaque informatique ayant permis « la réalisation d'opérations frauduleuses ». La banque affirme que l'incident est « aujourd'hui maîtrisé » et qu'il est sans conséquence financière pour ses clients. Selon Le Télégramme, le montant atteindrait 133 millions de dollars, soit environ 118 millions d'euros, tandis que franceinfo évoque plus de 100 millions d'euros. Arkéa ne confirme pas ce chiffre.
Aux clients, la banque assure, d'après l'AFP, que l'incident « n'a aucune conséquence financière pour eux » et que « leurs intérêts sont pleinement protégés ». Par mesure de précaution, certaines transactions ont été temporairement suspendues, précise franceinfo, et l'application affiche depuis mercredi matin un message d'erreur à la connexion. Arkéa assure : « La reprise de ces opérations interviendra rapidement, dans des conditions de sécurité optimales ».
La banque a informé la Banque de France, qui n'a pas commenté, selon l'AFP. Elle n'a pas détaillé la méthode des pirates. Une source proche du dossier, citée par franceinfo, parle de plus de 100 millions d'euros et indique que les fonds ont été convertis en cryptomonnaie pour sortir de la banque. La date de l'attaque n'a pas été précisée : les premiers retraits suspects ont été repérés le 2 novembre, et la banque ne l'a rendue publique que mercredi 4 novembre.
Une piste cryptomonnaies tracée par ZachXBT
L'enquêteur indépendant ZachXBT, qui suit les fonds sur les blockchains, a signalé le 2 novembre plus de 106 millions de dollars de retraits suspects en USDC et USDT visant une organisation européenne non nommée, rapportent Cryptoast et Cyberattaque.org. Environ 27 millions de dollars de retraits supplémentaires auraient suivi, pour un total supérieur à 133 millions de dollars. D'après Cyberattaque.org, il aurait désigné le Crédit Mutuel Arkéa dans la nuit du 3 au 4 novembre. Selon Cryptoast, il reproche à la banque un signalement tardif : plus de 30 millions de dollars auraient pu être gelés avec des alertes plus rapides aux autorités européennes.
Le mécanisme décrit reste présumé. D'après les sources du journaliste Grégory Raymond, rapportées par Cyberattaque.org et Cryptoast, des virements en euros auraient été émis depuis Fortuneo, la banque en ligne du groupe, les fraudeurs choisissant eux-mêmes le nom du bénéficiaire. Ils auraient été envoyés vers des comptes ouverts sur des plateformes crypto sous de fausses identités. Les euros auraient ensuite été convertis en stablecoin USDC, puis retirés vers des portefeuilles externes. Arkéa n'a pas confirmé le passage par Fortuneo.
Le mode d'entrée initial reste inconnu. Selon Cryptoast et Cyberattaque.org, deux pistes sont évoquées : une compromission des systèmes de paiement de Fortuneo, ou une manipulation humaine du type « fraude au président ». Selon Presse-citron, qui cite Le Figaro, ce seraient les fonds propres de Fortuneo, et non des comptes clients, qui auraient été visés. Une source citée par Presse-citron résume : « Ce n'est pas de la crypto qui a été volée directement à la banque. »
Plateformes crypto, clients et contexte
D'après Bitquery, cité par Cyberattaque.org, 108,8 millions de dollars d'USDC auraient été retirés de Kraken, Crypto.com et OKX en environ 21 heures, vers 15 portefeuilles. Toujours selon Bitquery, environ 62,98 millions de dollars de stablecoins auraient été échangés contre 27 553 ETH en quatre heures. Une partie des fonds aurait aussi été convertie en Monero, cryptomonnaie qui rend les transactions très difficiles à suivre, selon Cryptoast et Presse-citron. Kraken a restreint des comptes liés et Crypto.com a bloqué des fonds liés ; les deux disent que leur sécurité n'a pas été compromise.
L'AFP rapproche cette affaire du vol subi par Binance, environ 6,3 milliards de dollars d'actifs affectés, moins d'une semaine plus tôt. Ce vol-là a été attribué par le FBI à la Corée du Nord ; pour Arkéa, ZachXBT se dit « hautement confiant » que les auteurs ne sont pas liés au groupe Lazarus. Arkéa, qui réunit les fédérations du Crédit Mutuel de Bretagne et du Sud-Ouest, a dégagé 230 millions d'euros de bénéfice net au premier semestre. Restent inconnus le mode d'entrée des pirates, le montant définitif et la date de reprise des opérations suspendues.
