Une partie de l’argent dérobé lors de la cyberattaque contre le Crédit Mutuel Arkéa a été récupérée. Daniel Baal, président de la Confédération nationale du Crédit Mutuel, l’a affirmé sur France 5 le vendredi 6 novembre, selon l’AFP, deux jours après l’annonce de l’attaque par le groupe breton, maison mère de Fortuneo et de Keytrade Bank. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il n’a donné aucun chiffre sur les sommes revenues. Il situe le montant volé au-delà de 100 millions d’euros.
Arkéa explique que les attaquants ont émis des virements depuis son propre compte vers d’autres banques, une voie qui a pu leur permettre de convertir l’argent en crypto. Sur la blockchain, la société d’analyse Bitquery compte 126,04 millions de dollars en USDC sortis de Kraken, de Crypto.com et d’OKX les 1er et 2 novembre, et affirme que 37,26 millions de dollars se trouvaient encore sur Ethereum, à des adresses qu’elle attribue au voleur, le 5 novembre à 8 h 47 UTC. Bitquery désigne Arkéa comme la victime ; la banque, elle, n’a pas relié sa perte à ces portefeuilles. Personne n’a revendiqué l’attaque et personne n’a été identifié.
Pour les clients, la ligne de la banque n’a pas bougé depuis mercredi. Aucun compte de client n’a servi, les avoirs ne sont pas touchés, et certains virements ont simplement été exécutés avec retard. Restent inconnus : la perte finale, la somme récupérée, le nom du prestataire dont la plateforme a servi de porte d’entrée, et le chemin par lequel les euros ont atteint les comptes des plateformes crypto.
Cyberattaque du Crédit Mutuel Arkéa : ce que la banque confirme
Arkéa a publié un premier communiqué le 4 novembre à 13 h, heure de Paris, puis des informations complémentaires répondant aux questions reçues le même jour. Le premier annonce une attaque « ayant permis la réalisation d’opérations frauduleuses », un incident « maîtrisé », et précise que le groupe « s’est rapproché des instances compétentes et de supervision » dès la détection. Certaines transactions ont été suspendues par précaution.
Le second texte décrit la méthode. Les attaquants sont passés par la plateforme de l’un des prestataires du groupe. Ils ont ensuite utilisé le compte propre d’Arkéa, et non les comptes de clients de ses fédérations ou de ses filiales, pour envoyer des virements vers d’autres banques, ce qui a pu leur permettre de convertir les fonds en crypto sur des plateformes spécialisées. Le groupe écarte l’erreur humaine : « Il s’agit d’une attaque sophistiquée venant de l’extérieur, qui est maintenant circonscrite. » Le prestataire n’est pas nommé.
Sur le montant, la banque reste prudente. Le Télégramme a avancé 133 millions de dollars (118 millions d’euros) ; Arkéa ne confirme pas ce chiffre et indique : « nous pouvons simplement valider l’ordre de grandeur ». Son estimation provisoire, rapportée par l’AFP dans la soirée du 4 novembre, est d’environ 100 millions d’euros. Une partie des fonds a été bloquée et d’autres démarches de récupération sont en cours. Il est trop tôt pour un montant définitif, précise le groupe, qui ajoute que ces sommes ne sont pas de nature à remettre en cause sa solidité ni sa santé financière.
La section cybercriminalité du parquet de Paris a reçu une plainte du groupe mercredi matin et ouvert aussitôt une enquête pour attaque contre un système de traitement automatisé de données en bande organisée, d’après l’AFP. Le dossier a été confié à l’Office anticybercriminalité (OFAC), service de police français. Malgré le sigle, il n’a rien à voir avec l’agence américaine des sanctions du Trésor.
Daniel Baal le 6 novembre : une « partie » récupérée, origine inconnue
Daniel Baal préside la confédération qui chapeaute les fédérations du Crédit Mutuel, et l’AFP précise qu’il dirige aussi Crédit Mutuel Alliance Fédérale. Arkéa se décrit comme l’ensemble des fédérations du Crédit Mutuel de Bretagne et du Crédit Mutuel du Sud-Ouest, de leurs caisses locales et d’une quarantaine de filiales. Sur France 5, Daniel Baal a dit qu’Arkéa avait récupéré une « partie » de l’argent et que la somme dérobée dépassait 100 millions d’euros.
Interrogé sur les auteurs, il n’a pas pu répondre : « Sur cette attaque-là, je ne peux absolument pas dire si elle est française ou étrangère ». Il a jugé l’attaque très dommageable pour la banque visée, mais a dit qu’elle ne mettait pas en cause la solidité du système bancaire : « ça ne met en aucune manière en cause la crédibilité, la force du système ». Et d’ajouter : « Ce problème (…) doit servir de leçon. »
Daniel Baal a répété qu’aucun compte de client n’avait été touché. Même si l’un l’avait été, a-t-il expliqué, la banque aurait couvert les pertes, et « il y aurait de toute manière la garantie des dépôts ». Les communiqués d’Arkéa ne donnent pas non plus de montant récupéré : « partie » est donc tout ce qui est public pour l’instant.
Deux compteurs, deux totaux : les 133 millions de ZachXBT et les 126 millions de Bitquery
Le volet crypto est apparu avant la prise de parole de la banque. Le 2 novembre, l’enquêteur on-chain ZachXBT a écrit sur sa chaîne Telegram qu’une entité de l’UE aurait perdu plus de 106 millions de dollars, retirés de plusieurs comptes de plateformes centralisées sous forme d’USDC et d’USDT. Il décrivait un voleur qui échange « agressivement » ses USDC contre de l’ETH (notre traduction), recourt à des services d’échange instantané, passe d’une blockchain à l’autre par des ponts et convertit une partie des fonds en Monero via Wagyu.
Un jour plus tard, il a relevé son décompte à plus de 133 millions de dollars, après avoir trouvé plus de 27 millions de retraits supplémentaires, dont certains postérieurs à son premier message. Il a reproché à la victime son silence : l’absence de « communication correcte sur l’incident » a laissé plus de 30 millions de dollars être blanchis, écrit-il (notre traduction), estimant que les forces de l’ordre européennes auraient pu les geler. Dans un troisième message, il a identifié l’institution comme étant « vraisemblablement » le Crédit Mutuel Arkéa (notre traduction), a dit que l’attaque s’était étalée sur plusieurs jours et que la perte pouvait être plus élevée une fois comptés les échanges de gré à gré (OTC). Ces chiffres sont sa propre analyse ; ni la banque ni les autorités ne les ont confirmés.
Bitquery part des retraits visibles sur Ethereum. Une première version de son travail, relayée le 4 novembre par Bitcoin.com News et IT-Connect, comptait environ 108,8 millions de dollars d’USDC envoyés à 15 portefeuilles en une vingtaine d’heures. La version actuelle de son enquête, dont les données on-chain ont été vérifiées le 5 novembre, est plus lourde : 126,04 millions de dollars d’USDC issus de Kraken, de Crypto.com et d’OKX, vers 17 portefeuilles, en environ 28 heures.
Les deux totaux ne mesurent pas la même chose : les additionner reviendrait à compter deux fois les mêmes fonds. ZachXBT compte des retraits d’USDC et d’USDT qu’il attribue au voleur et s’attend à en trouver d’autres du côté des échanges OTC. Bitquery compte les versements en USDC qu’elle a retracés depuis trois plateformes nommées. Aucun des deux n’est le chiffre de la banque, qui reste « environ 100 millions d’euros » ou, selon Daniel Baal, plus de 100 millions d’euros.
| Chiffre | Montant | Source, date |
|---|---|---|
| Estimation provisoire de la banque | Environ 100 millions d’euros | AFP, 4 novembre |
| Chiffre de presse dont la banque valide l’ordre de grandeur | 133 millions de dollars (118 millions d’euros) | Le Télégramme, via l’AFP, 4 novembre |
| Somme dérobée selon le président de la Confédération du Crédit Mutuel | Plus de 100 millions d’euros | Daniel Baal sur France 5, 6 novembre |
| Première estimation on-chain | Plus de 106 millions de dollars | ZachXBT, Telegram, 2 novembre |
| Estimation on-chain révisée | Plus de 133 millions de dollars | ZachXBT, Telegram, 3 novembre |
| USDC retracés depuis Kraken, Crypto.com et OKX | 126,04 millions de dollars | Bitquery, vérifié le 5 novembre |
| Échangés contre 27 553 ETH via UniswapX | 62,98 millions de dollars | Bitquery |
| Encore sur Ethereum le 5 novembre à 8 h 47 UTC | 37,26 millions de dollars | Bitquery |
| USDT gelés par Tether | 1,14 million d’USDT | Bitquery |
Où l’argent est passé en 28 heures
La chronologie de Bitquery commence le dimanche 1er novembre. Le premier retrait part d’OKX à 12 h 25 UTC ; Kraken suit 44 minutes plus tard et finira par verser environ 95 % du total. Le rythme s’accélère dans la soirée : 73,2 millions de dollars sortent durant les trois heures précédant 23 h UTC, et 84 % des fonds ont quitté les plateformes à 23 h 10 UTC. Le lundi, Kraken verse 17,2 millions de dollars à deux autres portefeuilles entre 15 h 46 et 16 h 30 UTC, dernier versement trouvé par Bitquery.
La revente commence presque aussitôt. De 23 h 44 UTC environ le dimanche à 4 h 02 UTC le lundi, un portefeuille a vendu 62,98 millions de dollars d’USDC et d’USDT via UniswapX contre 27 553 ETH, soit environ 2 286 dollars l’ether. À titre de repère, l’ether valait près de 2 239 dollars à 12 h 54 UTC le 7 novembre. Une autre branche a converti des USDC en DAI. Une partie des premiers fonds est passée par des portefeuilles d’ordre que la société d’analyse TRM rattache à Wagyu, un service d’échange vers le Monero, où la piste s’arrête car cette blockchain masque montants et adresses. Wagyu faisait déjà parler de lui une semaine plus tôt, en confirmant la fuite de ses registres d’échanges vers le Monero.
Le 5 novembre, le nombre d’adresses que Bitquery rattache au voleur était monté à 526, contre 229 le 2 novembre. À 8 h 47 UTC ce jour-là, 37,26 millions de dollars restaient sur Ethereum : 8 926 ETH, 12,27 millions de DAI, 1,71 million d’USDC et 1,68 million d’USDT.
Un détail suggère une préparation. Douze des 17 portefeuilles destinataires avaient déjà reçu des versements des mêmes plateformes avant le vol, deux d’entre eux depuis mai ; le plus ancien a effectué son premier retrait chez Kraken le 4 mai. Bitquery en conclut qu’un seul propriétaire les a très probablement tous exploités, ce qui reste sa propre déduction.
Porte d’entrée : la plateforme d’un prestataire ou Fortuneo ?
C’est sur le trajet des euros jusqu’aux plateformes que les récits divergent. Dans la version de la banque, les attaquants sont entrés par la plateforme d’un prestataire de services et ont sorti l’argent du compte propre d’Arkéa par des virements vers d’autres banques. Ses informations complémentaires ajoutent que, contrairement à ce qui a été dit dans la presse, il n’y a pas eu d’entrée par Fortuneo.
L’autre version vient de Grégory Raymond, journaliste français spécialisé dans les actifs numériques. D’après ses informations, rapportées le 4 novembre par Cryptoast et IT-Connect, des virements ont été émis depuis Fortuneo vers des comptes de plateformes crypto ouverts sous de fausses identités, assez convaincantes pour passer les contrôles d’identité (KYC). Les noms des bénéficiaires correspondaient à ceux des titulaires, ce qui a permis de franchir les contrôles de concordance. IT-Connect ajoute qu’il a évoqué un réseau de mules et le ciblage de fonds propres de Fortuneo, non de comptes de clients. Selon Cryptoast, les comptes sur les plateformes ont été créés par les fraudeurs, et non piratés.
Les deux versions ne portent pas tout à fait sur le même terrain : la banque parle de l’endroit où les attaquants sont entrés et du compte débité, Grégory Raymond du parcours des virements. Sur Fortuneo, en revanche, elles s’opposent, et aucun des deux camps n’a publié de documents. Grégory Raymond a décrit à franceinfo un vol d’un genre inédit.
Pourquoi Kraken et Crypto.com ont pu geler, et pourquoi l’essentiel a continué de circuler
Kraken a dit avoir restreint les comptes liés à l’incident et Crypto.com avoir bloqué les fonds associés, tous deux assurant que leur propre sécurité n’avait pas été compromise. Ces déclarations ont été faites à Cointelegraph, relayées par Cryptoast, et aucune ne chiffre les sommes. Coindaro n’a trouvé aucune déclaration d’OKX. Bitquery cite des sources de Grégory Raymond selon lesquelles Kraken aurait commencé à geler des fonds dans la nuit du lundi, ce que la plateforme n’a pas confirmé.
L’ordre des événements explique ces limites. Tant que les jetons restent sur un compte de plateforme, celle-ci les détient et peut les bloquer ; c’est ainsi que fonctionnent la conservation et le KYC d’une plateforme centralisée. Une fois retirés vers un portefeuille que contrôle le voleur, la plateforme n’a plus aucune prise.
À ce stade, seul l’émetteur d’un stablecoin peut agir. Les contrats d’USDT et d’USDC permettent à Tether et à Circle de bloquer une adresse, un des points pratiques abordés dans notre comparatif USDT et USDC. Selon Bitquery, Tether a gelé 1,14 million d’USDT à 23 h 10 UTC le 2 novembre, mais pas les 0,54 million suivants ; et Circle n’a gelé aucun des 1,71 million d’USDC restants. Tether use du même pouvoir ailleurs : il a mis sur liste noire 32 adresses Tron fin octobre. L’ether et le DAI n’ont aucun émetteur capable de geler un solde, et le Monero le masque.
Voilà pourquoi les stablecoins ont été échangés contre de l’ETH dans les heures qui ont suivi leur sortie des plateformes. Le reproche de ZachXBT porte sur le temps : plus tôt police et plateformes sont prévenues, plus on peut bloquer. Savoir si la banque aurait pu donner l’alerte plus tôt dépend du moment où elle a repéré les virements, ce qu’elle n’a pas dit.
Clients d’Arkéa, de Fortuneo et de Keytrade : ce qu’il faut savoir
Selon Arkéa, l’incident « n’entraîne aucune conséquence financière pour nos clients » et n’a pas d’effet sur leurs avoirs. L’effet visible a été l’exécution différée de certains virements ; presque toutes les opérations ont repris dans la matinée du 4 novembre, après vérifications et renforcement des mesures de sécurité. Des médias belges ont rapporté le 4 novembre que la maison mère de Keytrade était le groupe visé, et Coindaro n’a trouvé aucun communiqué distinct de Keytrade.
Le groupe n’a pas dit que des données de clients avaient été volées. Il prévient que des tentatives d’hameçonnage (phishing) sont possibles après l’attaque et rappelle de ne jamais communiquer ses identifiants, son mot de passe, son numéro de carte ni le code de validation reçu par SMS, et d’appeler directement son conseiller pour vérifier tout message douteux. Un appel d’un prétendu conseiller proposant de « sécuriser » un compte après le piratage est un leurre classique.
La garantie des dépôts évoquée par Daniel Baal joue lorsqu’une banque est défaillante, pas pour un vol commis sur le compte propre de la banque. Pour Fortuneo et Keytrade, elle relève du Fonds de garantie des dépôts et de résolution (FGDR) et couvre jusqu’à 100 000 euros par déposant et par établissement de crédit, d’après la fiche d’information du déposant de Keytrade. Les deux enseignes appartiennent au même établissement, Arkéa Direct Bank : les dépôts détenus sous l’une et l’autre partagent donc un seul plafond.
Superviseurs, DORA et questions encore ouvertes
Arkéa dit avoir informé les instances compétentes et de supervision, sans les nommer ni donner d’heure. Selon le règlement européen DORA, en vigueur depuis le 17 janvier 2025, les banques doivent signaler à leur superviseur les incidents majeurs liés aux technologies de l’information ; la norme européenne de déclaration fixe la notification initiale à quatre heures après la qualification de l’incident comme majeur et au plus tard 24 heures après en avoir eu connaissance. Arkéa a-t-il respecté ces délais ? Ce n’est pas public, et Coindaro n’a trouvé aucune déclaration de l’ACPR ni de la Banque de France. L’AMF, qui agrée les acteurs des cryptoactifs, n’a aucun rôle dans l’informatique de cette banque.
La liste des inconnues est longue. La perte finale et la somme récupérée ne sont pas connues. Le nom du prestataire non plus, ni la façon dont les attaquants sont entrés dans sa plateforme, ni la réalité du trajet via Fortuneo décrit par Grégory Raymond. Aucun groupe n’a revendiqué l’attaque et aucun suspect n’a été désigné par la banque, par le parquet ou par les enquêteurs qui ont suivi les fonds.
Les prochains éléments devraient venir de la banque, qui dit communiquer au fil des informations nouvelles, et de l’enquête de l’OFAC. Sur la blockchain, les 37,26 millions de dollars aperçus par Bitquery sur Ethereum le 5 novembre forment la part que chacun peut encore suivre.