La banque française Crédit Mutuel Arkea a perdu jusqu'à 133 M$ dans un piratage provoqué par un prestataire, et l'argent a été blanchi via des cryptomonnaies, mais le registre public a révélé ce que la banque avait manqué.
Le piratage de Credit Mutuel Arkea : la crypto a suivi là où la banque a échoué
Credit Mutuel Arkea, une banque coopérative française avec 211,5 milliards d'euros d'actifs et 5,8 millions de membres, a perdu environ 100 millions d'euros (112,6 millions de dollars) suite à une cyberattaque divulguée par la banque le 5 novembre. L'investigateur sur chaîne ZachXBT (https://x.com/zachxbt) a estimé la perte plus élevée, jusqu'à 118 millions d'euros (133 millions de dollars). De toute façon, les attaquants n'ont jamais touché aux mots de passe des clients. Ils sont entrés par un fournisseur de services tiers, ont utilisé les propres comptes de la banque pour effectuer des virements de fonds, puis ont converti le produit en crypto. Ensuite, quelque chose que l'industrie bancaire n'avait pas prévu s'est produit : c'est la blockchain publique, et non la surveillance interne de la banque, qui les a démasqués.
Pendant quinze ans, les banques et leurs régulateurs ont dit à quiconque voulait bien écouter que la crypto-monnaie est la voie de paiement de choix des criminels. Le piratage de Credit Mutuel Arkea renverse cette histoire. Le maillon faible était le propre réseau de prestataires de la banque, la tuyauterie opaque, non audité et privée du banking correspondent. La partie qui a vraiment fonctionné était celle dite « dangereuse » : un registre transparent, un enquêteur pseudonyme nommé ZachXBT, et trois échanges de crypto-monnaies qui ont bloqué ou gelé les fonds liés en quelques jours.
Points clés
- ZachXBT a estimé la perte jusqu'à 118 millions d'euros (133 millions de dollars); la banque elle-même a confirmé environ 100 millions d'euros (112,6 millions de dollars) manquants et déclare ne pouvoir dire pour l'instant combien elle parviendra à récupérer.
- Les fonds fiat volés ont été convertis en crypto (USDC et USDT vers de l'ether, puis échanges instantanés, puis Monero), mais Kraken, Crypto.com et OKX ont bloqué ou gelé les fonds liés en quelques jours.
- ZachXBT a signalé le vol le 2 novembre, avant la divulgation publique par la banque le 5 novembre.
- ZachXBT a estimé qu'il ne s'agissait pas du groupe Lazarus de la Corée du Nord, mais d'un réseau de cybercriminalité indépendant et sophistiqué.
- La banque était, ironiquement, en train de demander une licence MiCA pour vendre des cryptomonnaies aux particuliers.
Image d'ensemble : la infrastructure de blanchiment est également l'infrastructure d'application de la loi
Chaque histoire de blanchiment d'argent repose sur deux voies : celle que utilisent les criminels pour déplacer les fonds, et celle par laquelle les forces de l'ordre les retracent. Pendant des décennies, ces deux voies n'en faisaient qu'une : le système de la banque correspondante. Les sociétés écrans, la sous- ou sur-facturation du commerce et les juridictions amicales ont permis à des billions de dériver à travers des banques qui soit ne pouvaient pas le voir, soit n'ont pas cherché à le voir.
Les cryptomonnaies devaient empirer la situation. Sur un sens, elles l'ont fait. Les voleurs Arkea ont converti les fonds en stablecoins, les ont échangés contre de l'ether, les ont fait transiter par des échanges instantanés comme WellWallet et Kyrrex, les ont fait passer d'une chaîne à l'autre, et ont placé une partie dans du Monero. Bitquery (https://bitquery.io/), une entreprise d'analyse de la blockchain, a retracé 108,8 millions de dollars USDC quittant les comptes Kraken, Crypto.com et OKX vers 15 portefeuilles en environ 21 heures les 1er et 2 novembre, et a constaté que 78,3 millions de dollars USDC étaient toujours sur Ethereum l'après-midi suivante.
Mais voici ce que les critiques de la cryptomonnaie n'ont jamais voulu admettre : la même chaîne publique qui a permis aux fonds de circuler rapidement est aussi ce qui les a rendus visibles. ZachXBT, un enquêteur solitaire pseudonyme armé d'un clavier, a signalé les retraits le 2 novembre, avant même que la banque ne prononce un mot. Kraken a vu des transferts arriver "trop importants et trop rapides pour être ordinaires" et a bloqué ceux qui étaient encore en cours. Crypto.com a figé les comptes liés. OKX a gelé un compte institutionnel après avoir repéré des activités inhabituelles.
Une banque disposant de 211,5 milliards d'euros d'actifs et de milliers de salariés n'a pas vu partir 112,6 millions de dollars par le biais de ses propres comptes. Un type sur Internet, lui, l'a pu.
Qui gagne et qui perd
Les gagnants sont la couche de conformité pour laquelle la crypto a passé des années à se moquer. Les entreprises d'analyse de la blockchain, dont ZachXBT, Chainalysis, TRM Labs et Bitquery, viennent de recevoir leur meilleure argumentaire de vente en une décennie. Kraken, Crypto.com et OKX ont démontré que le bouton blocus et gel, la chose la plus détestée par les puristes de la crypto, est précisément ce qui empêche les fonds volés de disparaître. Les émetteurs de stablecoins ont obtenu une nouvelle donnée : lorsqu'un voleur fait transiter de l'argent par le biais de l'USDC et de l'USDT, l'émetteur peut le gelé, et seulement 3,7 millions de dollars du total traçable étaient encore sous forme d'USDC gelable le jour suivant. C'est une fonctionnalité que les régulateurs adorent, et c'est pourquoi "gelable" est désormais un argument de vente pour l'adoption institutionnelle plutôt qu'une tache sur la décentralisation.
Les perdants sont les postulats hérités des systèmes traditionnels. Les banques ont passé des années à dire aux régulateurs que leurs contrôles étaient supérieurs. Les outils de surveillance d'Arkea ont manqué le vol ; l'intrusion est passée par un prestataire dont la plateforme détenait ce qui équivalait aux clés du trésor de la banque. La frontière de confiance entre une banque et ses fournisseurs est devenue la surface d'attaque, et, sous l'Digital Operational Resilience Act (DORA) européen, en vigueur depuis janvier 2025, ce risque tiers est désormais officiellement la responsabilité de la banque.
Il y a un deuxième perdant que personne ne mentionne : le récit « la crypto est réservée aux criminels » lui-même. Vous ne pouvez pas raisonnablement accuser la crypto d'être un circuit de blanchiment lorsque c'est une banque traditionnelle, et non une exchange ni un protocole DeFi, qui s'est fait volée par l'intermédiaire d'un fournisseur, et que c'est la crypto qui a produit la piste d'audit.
Contexte historique : la Banque du Bangladesh, mais avec un grand livre public
Cela s'est déjà produit, et la comparaison est instructive. En 2016, des attaquants ont utilisé le système de messagerie SWIFT pour voler 81 millions de dollars du compte de la Banque du Bangladesh à la Réserve fédérale de New York. L'argent a transité par des casinos et des espèces, des rails opaques qui ont anéanti la piste presque instantanément. Une grande partie n'a jamais été récupérée.
Le piratage d'Arkea est la suite de 2026 de l'attaque de Bangladesh Bank, avec une différence cruciale : la sortie s'est faite par une blockchain publique. Là où les voleurs de 2016 ont disparu dans des jetons de casino et des courriers d'espèces, les voleurs de 2026 ont foncé droit dans un registre qui enregistre tout, pour toujours. ZachXBT a pu suivre l'argent car l'argent ne pouvait pas totalement se cacher. Une partie a bien disparu dans des Monero et des ponts interchaînes, environ 30 millions de dollars ont été blanchis avant que la banque ne révèle quoi que ce soit, mais le fait que l'intégralité de la piste soit lisible sur la chaîne en temps réel est l'essentiel.
L'autre différence, c'est l'ironie. Arkea préparait reportedly une licence MiCA pour vendre des cryptomonnaies à des clients particuliers. Une banque sur le point de tirer profit des cryptomonnaies s'est fait voler et blanchir par des cryptomonnaies. L'institution qui faisait la leçon à la classe d'actifs sur la conformité était celle dont la conformité avait échoué.
La lentille du futur : le risque fournisseur devient un risque systémique
Voici où cela mène dans un à trois ans. Les banques dépendent désormais d'une poignée de fournisseurs profondément intégrés : processeurs de paiements, fournisseurs de systèmes bancaires centraux, prestataires de services externalisés. Des entreprises comme Worldline, Fiserv et Temenos sont si intégrées aux opérations financières qu'une violation de l'une d'entre elles constitue une violation de nombreuses banques à la fois. Arkea a écarté Fortuneo, sa banque en ligne, comme point d'entrée et a pointé du doigt la plateforme d'un prestataire externe. Le prestataire n'a toujours pas été nommé. Ce silence est en soi l'histoire : le système ne sait pas quel fournisseur unique constitue le maillon faible systémique, et dans le cadre de DORA, chaque banque de l'UE est désormais légalement responsable des risques TIC qu'elle ne contrôle pas pleinement.
Attendez-vous à trois choses. Premièrement, un durcissement réglementaire de l'accès des tiers : application du principe du moindre privilège, double autorisation pour les nouveaux bénéficiaires et boutons d'arrêt d'urgence en temps réel sur les tokens d'API des prestataires. Deuxièmement, les monnaies de confidentialité connaîtront un réveil brutal : le Monero est le dernier maillon de presque toutes les chaînes de blanchiment désormais, et chaque nouveau braquage en fait une cible encore plus importante. Troisièmement, et de loin le plus conséquent, la frontière entre « sécurité bancaire » et « sécurité cryptographique » s'efface. La banque adoptera la même surveillance en chaîne qu'elle avait autrefois moquée, car le registre s'est avéré être le meilleur policier.
Angle du trader : le risque de contrepartie est la nouvelle variable
Ce n'est pas une histoire de prix, et elle ne devrait pas être traitée comme telle. Mais elle change la façon dont vous devez réfléchir à l'endroit où vous gardez votre argent et à qui vous faites affaire. Les exchanges qui ont agi vite, Kraken, Crypto.com, OKX, viennent de prouver qu'ils disposent de services de conformité et d'intervention fonctionnels. Cela a de la valeur, car la prochaine fois qu'un vol de neuf chiffres frappera, la différence entre voir les fonds liés gelés et les regarder disparaître dans du Monero, c'est la rapidité avec laquelle votre plateforme peut agir.
La leçon la plus profonde porte sur l'asymétrie de confiance. Une banque disposant d'un bilan forteresse et de mille officiers de conformité n'a pas pu empêcher 112,6 millions de dollars de quitter sa propre porte. L'institution « trop grosse pour faire faillite » n'était protégée que par les credentials d'un fournisseur. Tandis que la « non réglementée » infrastructure crypto a produit une piste d'audit publique en temps réel. Si vous évaluez des contreparties — banques, exchanges, dépositaires — la question n'est plus « sont-ils réglementés ? ». Elle est « peuvent-ils voir leur propre argent bouger ? ».
Fermeture
Alors voici la question inconfortable que le lobby bancaire ne veut pas qu'on pose : si une banque de 211 milliards d'euros peut perdre 112,6 millions de dollars par l'intermédiaire d'un fournisseur qu'elle avait choisi, et si un enquêteur pseudonyme sur une blockchain publique peut tracer transaction par transaction jusqu'au portefeuille, qui est vraiment le plus sophistiqué ?
Ce n'est pas la crypto qui a volé la banque française. C'est la propre infrastructure de la banque. La crypto n'a fait que rédiger le reçu et le remettre aux enquêteurs.
FAQ
Comment Credit Mutuel Arkea a-t-elle été piratée ? Les attaquants ont infrangé la plateforme d'un fournisseur de services tiers, puis ont utilisé les propres comptes de la banque pour envoyer des virements frauduleux à d'autres banques. L'argent a ensuite été converti en cryptomonnaie. Les comptes clients n'ont pas été accessibles.
Combien a été volé à l'Arkea ? ZachXBT a estimé jusqu'à 118 millions d'euros (133 millions de dollars). La banque a confirmé seulement l'« ordre de grandeur », soit environ 100 millions d'euros (112,6 millions de dollars), et a déclaré le 5 novembre qu'elle travaillait toujours à la récupération des fonds, sans préciser le montant qu'elle espère récupérer. Kraken, Crypto.com et OKX ont bloqué ou gelé des fonds liés.
S'agit-il du groupe Lazarus de Corée du Nord ? Non. ZachXBT a évalué, avec un haut degré de confiance, que les schémas de blanchiment ne correspondent pas au groupe Lazarus, et a plutôt pointé du doigt un réseau de cybercriminalité indépendant et sophistiqué spécialisé dans les compromissions de fournisseurs.
Quels exchanges de crypto ont été impliqués ? Kraken, Crypto.com et OKX. Kraken aurait vu la majorité des flux sortants (environ 95 % du total retracé) et bloqué le mouvement des fonds ; Crypto.com a gelé les comptes liés et OKX a gelé un compte institutionnel.
Qu'est-ce que DORA et pourquoi est-ce important ici ? La Digital Operational Resilience Act (DORA) de l'UE, en vigueur depuis janvier 2025, rend les entreprises financières responsables des risques liés aux TIC et aux tiers, y compris les brèches qui pénètrent par la plateforme d'un prestataire de service, exactement comme dans l'affaire Arkea.
DYOR : Crédit Mutuel Arkéa (https://www.cm-arkea.com/) · ZachXBT (https://x.com/zachxbt) · Bitquery (https://bitquery.io/) · DORA (EIOPA) (https://www.eiopa.europa.eu/browse/digital-finance/digital-operational-resilience-act-dora_en)