Fraude crypto à 133M$ touchant Crédit Mutuel Arkéa

Un seul portefeuille, apparu le jour même, a reçu 43 retraits de Kraken en 91 minutes, chacun sous 50K$. Bitquery, la société d'analyse qui a reconstitué le circuit adresse par adresse, y voit un plafond de retrait contourné à la main. Le dimanche 1er novembre, entre 13h25, heure du premier retrait parti d'OKX, et le lendemain matin, 108,8M$ en USDC sont sortis de comptes ouverts chez Kraken, Crypto.com et OKX vers 15 portefeuilles. À minuit dix, 98% de la somme était déjà partie.

Le nom est venu le mercredi 4 novembre à 3h24, sur le canal Telegram de ZachXBT, enquêteur pseudonyme qui piste les fonds volés sur la blockchain. La victime « serait » Crédit Mutuel Arkéa, la banque coopérative propriétaire du Crédit Mutuel de Bretagne et de Fortuneo, 211,6G€ de bilan. Son message tient en quelques lignes et ne détaille pas ce qui relie ces fonds à la banque. Il a aussi porté son estimation à 133M$, un surplus que Bitquery, arrêtée à 108,8M$ sur Ethereum, n'a pas pu confirmer. Sollicitée par plusieurs médias, la banque n'a ni confirmé ni démenti. Mais un cadre de la banque confirme à Zero Bullshit que Arkea « a bien subi une fraude massive », tout en réfutant la version de ZachXBT. Selon lui, c'est un ordinateur compromis au sein de Fortuneo qui serait à l'origine de l'intrusion.

Grégory Raymond, journaliste spécialisé en actifs numériques, a publié une seconde version sur LinkedIn. Selon lui, la banque n'a pas perdu de cryptos : de la monnaie fiat en est sortie vers des comptes de mules ouverts sur des plateformes d'échange, qui l'ont convertie en stablecoins. Kraken, qui a payé 178 des retraits, affirme qu'aucun compte client n'a été piraté chez lui et que l'incident n'est pas né sur sa plateforme, ce qui reste compatible avec ce récit. Bitquery lit la chaîne autrement. 11 des 15 portefeuilles avaient déjà été payés par les mêmes plateformes depuis mai, comme ceux d'une entreprise qui fait du trading ou des paiements en cryptos, une lecture que la société dit elle-même fragile. Réinterrogée par Zero Bullshit, la source au sein d'Arkea, visiblement gênée, refuse de confirmer les détails. Mais n'informe pas.

Dans la nuit du dimanche au lundi, entre 0h44 et 5h02, un portefeuille neuf a vendu 62,98M$ de stablecoins contre 27'553 ETH sur UniswapX, à 2'286$ pièce, un prix de trader appliqué plus que de fuyard. Le reste a pris des ponts vers d'autres blockchains ou des services d'échange instantané sans ouverture de compte comme FixedFloat, avec une bretelle vers le Monero, conçu pour rendre les transactions illisibles. Mardi après-midi, 50,3M$ avaient quitté les adresses du voleur. Il en restait 61M$, à la vue de tous.

Après le piratage de Binance la semaine précédente, Tether et Circle, émetteurs des 2 principaux stablecoins, avaient bloqué plus de 2G$ en quelques heures, rappelle Bitquery. Ici, Tether a gelé 1,14M$ en USDT le lundi soir, seul gel d'émetteur en 3 jours. Circle n'a rien bloqué, ni pendant les 4 heures de conversion en ether ni ensuite, et Bitquery dit ignorer si quelqu'un le lui a demandé. Kraken a restreint des comptes et dit travailler avec les forces de l'ordre, Crypto.com a bloqué des fonds. ZachXBT, lui, estime que l'absence de déclaration de la victime a laissé blanchir plus de 30M$.

Sur une chaîne publique, l'argent volé reste lisible pendant des jours. Les outils de gel, eux, attendent qu'une victime se déclare, et aucune ne l'a fait publiquement : sur 108,8M$ suivis à la minute, 1,14M$ a été gelé par un émetteur. Si la victime est bien Crédit Mutuel Arkéa, la perte se paiera sur les fonds propres d'une banque coopérative, donc sur le patrimoine commun de ses sociétaires. 133M$, c'est environ un quart des 450M€ de résultat net du groupe en 2025. Rien n'indique, à ce stade, que les dépôts des clients soient touchés.

Mardi à 14h27, au dernier relevé de Bitquery, 2,53M$ en USDC dormaient toujours dans 2 portefeuilles aux adresses publiées, gelables par Circle en une opération.

EDIT 11H26 : le Crédit Mutuel Arkéa confirme la fraude officiellement à plusieurs médias.