Une banque française s'est fait voler en euros. Mais le vol, lui, se lit en dollars numériques.
Le 4 novembre, Crédit Mutuel Arkéa a confirmé une cyberattaque: des assaillants ont pénétré le système d'information via la plateforme d'un prestataire externe, puis ont utilisé le compte de la banque elle-même pour émettre des virements vers d'autres établissements. Selon l'institution, ces transferts auraient permis de convertir les fonds en crypto-actifs via des plateformes spécialisées. L'estimation provisoire est de l'ordre de 100 millions d'euros. Une partie a été bloquée et les clients, y compris ceux de Fortuneo, n'ont pas été touchés. C'est là que l'attaque contre Crédit Mutuel Arkéa et la piste crypto se croisent: selon Bitquery, 126,04 millions de dollars en USDC sont sortis de Kraken, Crypto.com et OKX vers 17 portefeuilles, mais le lien complet avec les pertes de la banque n'a pas encore été établi publiquement.
Nous avons consulté le communiqué de la banque, la dépêche AFP reprise par Boursorama, l'enquête de Bitquery, Ledger Insights, Cryptoast et les déclarations des exchanges. Reuters n'était pas accessible via nos outils. Le post du journaliste Grégory Raymond sur X est cité via Bitquery.
Le vol n'a pas eu lieu sur la blockchain
Premier paradoxe: aucune clé privée n'a été volée. Selon la banque, les assaillants ont atteint Arkéa par la plateforme d'un prestataire dont le nom n'a pas été divulgué. Ils ont utilisé le compte institutionnel de la banque, et non ceux des clients des fédérations ou des filiales. L'établissement exclut toute erreur humaine et qualifie l'attaque de sophistiquée, venue de l'extérieur et désormais maîtrisée. Aucun accès, précise-t-il, ne s'est produit via Fortuneo.
Selon l'AFP, le mercredi 4 novembre, Arkéa a déposé plainte auprès de la section cybercriminalité du parquet de Paris. Le parquet a ouvert une enquête pour accès à un système informatique en bande organisée et en a confié les investigations à l'Office anti-cybercriminalité de la police nationale (OFAC). La banque assure que ces sommes ne remettent pas en cause sa solidité financière: au premier semestre, rappelle l'AFP, elle a enregistré 230 millions d'euros de bénéfice net.
La piste mène à des comptes ouverts sur des exchanges réglementés
Deuxième paradoxe: le chemin choisi par les attaquants. Selon Grégory Raymond, cité par Bitquery, les virements sont arrivés sur des comptes d'exchanges ouverts sous de faux noms. Ledger Insights a reconstitué les retraits d'USDC des 1er et 2 novembre: 102 millions de dollars issus de comptes sur Kraken, 5,4 millions sur Crypto.com et environ 660 000 dollars sur OKX. Un paiement test de 1 000 dollars précédait généralement le solde principal, compris entre 5 et 10 millions à chaque fois. Bitquery recense au total 126,04 millions vers 17 portefeuilles, Kraken représentant environ 95% du montant. Sans les quatre portefeuilles liés indirectement, le total tombe à 95,71 millions.
Kraken, selon Ledger Insights, affirme que l'incident n'est pas parti de sa plateforme, qu'il a limité les comptes concernés, qu'il coopère avec les forces de l'ordre et qu'aucun compte client n'a été compromis. Crypto.com et OKX, selon AMBCrypto, ont indiqué bloquer les fonds liés à l'affaire et procéder à des vérifications. Kraken opère dans l'Union européenne avec une licence MiCA délivrée par la Banque centrale d'Irlande en 2025, selon The Block. Le cadre européen applicable aux prestataires de services sur crypto-actifs est également au coeur de notre analyse sur les arnaques imitant des exchanges et des autorités.
Les fonds ont circulé plus vite que les communiqués
Selon Bitquery, le premier retrait a quitté OKX à 12h25 UTC le dimanche 1er novembre. En trois heures seulement, jusqu'à 23h00, environ 73,2 millions de dollars avaient déjà été retirés. En à peine quatre heures, 62,98 millions en stablecoins ont été convertis en 27 553 ETH via UniswapX. Les fonds se sont ensuite fragmentés. Environ 36,09 millions sont partis vers LI.FI, notamment via un service de conversion en Monero dont la trace on-chain est invisible par construction. D'autres 8,14 millions ont atterri sur une adresse de dépôt associée par TRM à Kyrrex. Au 5 novembre à 08h47 UTC, environ 37,26 millions restaient traçables, soit 30% du total.
La banque n'a communiqué que le 4 novembre, soit trois jours après les premiers retraits identifiés par Bitquery. ZachXBT, l'enquêteur qui avait signalé l'affaire le 2 novembre sans nommer la victime, estime que ce silence initial a permis de blanchir plus de 30 millions. Toujours selon Cryptoast, il évalue aussi «avec un haut degré de confiance» que les auteurs ne sont pas liés à Lazarus. Ce sont ses estimations, non des conclusions d'autorités judiciaires.
Qui bloque et qui ne bloque pas
Dans les premières heures, le frein est venu principalement des exchanges, qui ont limité les comptes suspects. Sur la blockchain, les blocages ont été rares: Tether a gelé environ 1,14 million d'USDT le 2 novembre, tandis qu'au 5 novembre Circle n'avait bloqué aucun des 1,71 million d'USDC encore présents dans les portefeuilles tracés, selon Bitquery. Cette différence de comportement entre émetteurs est un des axes de notre comparaison entre USDT et USDC. Le pouvoir de gel de Tether est également abordé dans notre analyse de la fine ligne entre stabilité et inquiétudes qui entoure l'émetteur.
Les chiffres ne concordent pas encore
Troisième paradoxe: la victime déclare moins que ce que les autres comptabilisent. La banque évoque environ 100 millions d'euros, soit environ 113 millions de dollars au taux utilisé par l'AFP selon Bitquery. Le Télégramme a écrit 133 millions de dollars, soit 118 millions d'euros. Arkéa en a accepté l'ordre de grandeur sans confirmer le chiffre. ZachXBT était parti de 106 millions de dollars avant de relever son estimation à plus de 133 millions. Bitquery reconnaît ne pas encore pouvoir expliquer l'écart entre ces estimations.
Ce qui reste à prouver
Beaucoup de choses. Le lien complet entre les virements émis par la banque et les flux on-chain n'a pas été établi publiquement: Bitquery n'attribue les 17 portefeuilles à aucune entité identifiée et fonde la connexion sur des comptes rendus de presse et sur le comportement des wallets. Le nom du prestataire externe, la date précise de l'intrusion, les modalités d'ouverture des comptes sur les exchanges, le montant bloqué et son emplacement restent inconnus.
Gaurav Agarwal
L'affaire Arkéa
Ce qui est confirmé, ce qui ne l'est pas
- Confirmé: attaque via la plateforme d'un prestataire externe, virements depuis le compte de la banque, estimation provisoire de l'ordre de 100 millions d'euros, clients non touchés, plainte déposée et enquête ouverte à Paris.
- Non précisé: nom du prestataire, date de l'intrusion, montant définitif et sommes bloquées, preuve publique du lien avec les 126,04 millions d'USDC tracés par Bitquery.
- À suivre: l'enquête du parquet de Paris, le recouvrement des fonds, les vérifications sur les comptes ouverts sous faux noms, d'éventuels blocages de la part de Circle.
Une lecture plus large
Ce cas renverse le récit habituel. Ce n'est pas la blockchain qui a cédé, mais la chaîne de sous-traitance d'une banque traditionnelle. Les crypto-actifs sont apparus après, comme voie de sortie rapide. La dépendance aux prestataires externes est un sujet que la finance européenne connaît bien, comme le montre notre analyse sur la dépendance de la finance de l'UE aux IA étrangères, et elle a eu ici un coût mesurable.
Second point: qui peut arrêter les fonds. Les banques expérimentent depuis longtemps la blockchain, à l'image des britanniques avec les dépôts tokenisés interbancaires, mais dès que les fonds quittent le système bancaire, le pouvoir de freinage revient aux exchanges et aux émetteurs. Circle, qui déploie par ailleurs l'USDC sur 40 marchés émergents, n'avait au 5 novembre bloqué aucun fonds. Trois éléments sont à surveiller: l'avancée de l'enquête judiciaire, la vérification de l'identité des titulaires des comptes et la part des sommes qui sera effectivement recouvrée.
