Piratage de Crédit Mutuel Arkéa : comment 133 millions de dollars sont sortis via un prestataire et ont fini en stablecoins et en Monero
Crédit Mutuel Arkéa, groupe bancaire coopératif français comptant 5,8 millions de sociétaires et 211,5 milliards d'euros d'actifs, a confirmé qu'un intrus avait atteint ses systèmes via la plateforme d'un prestataire et utilisé le compte d'entreprise de la banque elle-même pour envoyer environ 118 millions d'euros, soit à peu près 133 millions de dollars, vers des comptes ouverts dans d'autres banques. La banque a révélé l'incident le 4 novembre 2026 et refuse depuis de confirmer le montant.
Ce que la banque confirme, et ce qu'elle ne confirme pas
Dans des déclarations reprises par des médias français et par BleepingComputer, Arkéa a décrit une attaque sophistiquée et indiqué que l'intrus était entré directement par la plateforme d'un prestataire. La banque a explicitement écarté Fortuneo, sa propre banque en ligne, comme point d'entrée, et exclu une erreur humaine de ses équipes. Elle a précisé que les virements provenaient du compte d'Arkéa et non de comptes clients, et que les actifs des clients n'étaient pas affectés. Certains virements ont été retardés pendant que la banque suspendait des transactions par précaution. Ce qu'elle n'a pas fait, c'est confirmer le chiffre. Interrogée sur l'estimation de 133 millions de dollars, elle a répondu à BleepingComputer qu'elle ne confirmait pas cette information et ne pouvait valider que l'ordre de grandeur. Cette réserve mérite d'être gardée en tête : le montant est une reconstruction d'enquêteur à partir de données on-chain, pas un chiffre entériné par la victime. « Nous ne confirmons pas cette information et ne pouvons valider que l'ordre de grandeur. » Crédit Mutuel Arkéa, cité par BleepingComputer
Comment un virement devient un stablecoin
La mécanique rapportée jusqu'ici manque de panache. Selon les travaux de Grégory Raymond et d'autres, résumés par ZATAZ, les virements frauduleux se sont étalés sur plusieurs jours plutôt que sur une seule salve, et les noms de bénéficiaires portés sur les virements ont été choisis pour correspondre aux noms des comptes destinataires. De là, les fonds ont été retirés en USDC et en USDT, les deux plus grandes stablecoins libellées en dollars, vers des comptes ouverts sur des plateformes d'échange centralisées. IT for Business, citant la société d'analyse blockchain Bitquery, rapporte que 108,8 millions de dollars en USDC ont quitté des comptes chez Kraken, Crypto.com et OKX en une vingtaine d'heures les 1er et 2 novembre, répartis vers 15 portefeuilles distincts. Pourquoi le compte sur plateforme est le goulot d'étranglement
C'est la partie de l'histoire sur laquelle il vaut la peine de s'arrêter. Un virement bancaire peut être rappelé, contesté et annulé le long de la chaîne de correspondants ; un transfert de stablecoins, non. Mais une stablecoin détenue sur une plateforme régulée n'est pas anonyme non plus, et c'est pourquoi les comptes eux-mêmes étaient semble-t-il le problème que les fraudeurs devaient résoudre en premier. Les récits les décrivent comme ouverts à l'avance sous des identités falsifiées assez crédibles pour passer les contrôles de connaissance du client, les noms des bénéficiaires des virements étant ajustés à ceux des titulaires pour que la banque émettrice les accepte. IT for Business ajoute que les comptes semblent avoir été ouverts directement sous de fausses identités plutôt que détournés de vrais clients, et que onze des 15 portefeuilles de destination avaient déjà reçu des fonds des mêmes plateformes, parfois des mois plus tôt. Si cela se vérifie, on décrit une préparation et non une improvisation : des comptes et une infrastructure de portefeuilles prêts avant que le premier virement ne quitte la banque. Vingt-sept mille ether, puis du Monero
Dans la nuit du 1er au 2 novembre, environ 63 millions de dollars en stablecoins ont été échangés contre 27 553 ETH via UniswapX, un protocole d'échange décentralisé. Le choix est pragmatique. Les émetteurs de stablecoins peuvent geler des soldes au niveau du contrat lorsqu'on le leur demande ; l'ether n'a pas d'émetteur à qui s'adresser. L'échange a en outre été bouclé en moins de quatre heures, selon les mêmes sources, ce qui va plus vite qu'une ordonnance judiciaire. Le reste a été réparti entre des adresses, déplacé entre blockchains via des bridges et passé par des services d'échange instantané cités sous les noms de WellWallet et Kyrrex, avant qu'une partie ne soit convertie en Monero via un service appelé Wagyu. Monero masque par défaut l'émetteur, le destinataire et le montant, si bien que la trace s'arrête de fait à cette frontière. C'est désormais l'état final habituel des grands vols de cryptoactifs, et c'est pourquoi les heures qui suivent immédiatement un vol comptent davantage que les semaines d'après. À quoi ressemble un gel en pratique
Kraken a indiqué avoir restreint les comptes liés dans la nuit du lundi 2 au mardi 3 novembre et que ses propres systèmes n'avaient pas été compromis. Crypto.com a déclaré avoir bloqué les fonds associés, et OKX enquêtait encore au moment des faits rapportés. ZachXBT soutient qu'une notification tardive des plateformes et des autorités a permis de blanchir plus de 30 millions de dollars qui auraient pu être interceptés à temps. Un gel n'est pas une récupération. C'est une retenue sur un solde pendant que la propriété se discute, et la mainlevée dépend d'une procédure judiciaire, des conditions de la plateforme et de la démonstration de l'ayant droit. La banque a déclaré que l'incident est désormais clos et maîtrisé, ce qui décrit son propre endiguement, non le sort de l'argent. Ce que le dossier n'établit pas
Aucune interpellation n'a été rapportée. Ni les intrus ni le prestataire n'ont été publiquement identifiés, et la banque n'a donné aucun détail technique sur l'usage de la plateforme. L'attribution reste ouverte : ZachXBT s'est dit très convaincu qu'il ne s'agissait pas du groupe Lazarus, tandis qu'une autre ligne de presse, explicitement non prouvée, évoque des réseaux francophones historiquement liés aux fraudes au président. Numerama note que la méthode elle-même demeure inconnue. Le point d'entrée est la partie la moins satisfaisante du dossier. Un intrus dans la plateforme d'un prestataire, c'est une description de chaîne d'approvisionnement, et cela soulève la question que pose toute fonction bancaire externalisée : quels identifiants le prestataire détenait, et si la banque pouvait voir qu'ils étaient utilisés. Arkéa indique coopérer avec les autorités judiciaires. Au vu des éléments publiés, les virements, les conversions et les gels sont documentés ; l'intrusion, non. Pour un éclairage connexe sur la manière dont l'analyse de transactions est éprouvée devant un tribunal plutôt que dans un billet de blog, voir notre récit du procès Bitcoin Fog.
