💸 Vol chez Arkéa : l'argent pouvait être bloqué, il file toujours

Le dimanche de la Toussaint, à minuit, environ 95M$ volés au Crédit Mutuel Arkéa pouvaient encore être bloqués. Le lundi à 9h, à l'ouverture des bureaux, il en restait 8M$. Entre les deux, une nuit de jour férié, et des fraudeurs qui n'ont pas dormi.

Le groupe bancaire breton, propriétaire de la banque en ligne Fortuneo, venait de se faire vider 118M€ de son compte propre par des pirates entrés par la plateforme d'un prestataire. L'argent a été viré vers des comptes ouverts chez Kraken, OKX et Crypto.com, des plateformes d'échange de cryptos, où les euros ont été changés en dollars numériques, puis retirés.

C'est là que tout se jouait. Un dollar numérique est un jeton émis par une société, Circle pour l'USDC, Tether pour l'USDT, et cette société peut le bloquer à distance, où qu'il se trouve, sur simple demande. Tant que l'argent reste sous cette forme, il est rattrapable. Une fois changé en ether ou en Monero, des cryptos que personne ne peut bloquer, il est perdu. La victime est la mieux placée pour demander ces blocages, et vite : elle sait quels virements sont frauduleux et vers quels comptes ils sont partis.

Le 4 novembre, Arkéa a assuré avoir repéré « très rapidement » les activités suspectes, écrit qu'une partie des fonds avait pu être bloquée, sans dire laquelle, et déclaré l'incident « clos et maîtrisé ». Le 6 novembre, sur France 5, Daniel Baal a ajouté que la banque bretonne avait déjà récupéré une partie des fonds. Sans montant, et sans parler pour elle : Daniel Baal préside la confédération nationale du Crédit Mutuel et dirige Crédit Mutuel Alliance Fédérale, le groupe rival dont Arkéa a voulu se séparer. Depuis, plus rien. Ni montant, ni heure de détection, ni date des demandes de blocage. Arkéa avait pris contact avec Zero Bullshit dès les premières heures, avant la parution de l'enquête du 5 novembre. Silence depuis.

Les faits, eux, se reconstituent heure par heure. Le premier blocage est arrivé 35h après le début du vol, et ne portait que sur 1,14M$. À cette heure-là, d'après les relevés de Zero Bullshit, environ 16M$ pouvaient encore l'être, et ne l'ont pas été. L'alerte publique est venue de Kraken, le mardi, pas de la banque. Le mercredi, au moment où Arkéa déclarait l'affaire maîtrisée, 15,6M$ restaient bloquables. Le soir même, Tether en a bloqué 7,4M$, plus de 80h après le début du vol. Et selon plusieurs sources proches du dossier, une partie au moins de ces fonds a été bloquée avant même que la banque ne le demande.

Une semaine plus tard, 8,6M$ sont bloqués sur les 129,6M$ suivis par Zero Bullshit. Moins de 7%. Et des fonds bloqués ne sont pas des fonds rendus. Ce qui pouvait encore être rattrapé fond : 8,1M$ le 5 novembre, 4,2M$ le 10, avec un seul nouveau blocage de 92K$ entre les deux. 1,70M$ en dollars numériques de Circle dorment sur un même portefeuille depuis le dimanche du vol, sans que personne n'y touche. Circle n'a rien bloqué de toute l'affaire, et Arkéa ne dit pas si elle le lui a demandé.

Le reste disparaît. Les fraudeurs font passer l'argent par des portefeuilles relais où transitent les fonds de milliers d'inconnus : une partie du butin a traversé 157 portefeuilles par lesquels sont passés 763M$ venus d'ailleurs. L'argent d'Arkéa n'y pèse plus que 4%, et 51 de ces relais tournaient avant le vol, un circuit déjà rodé. Au bout, des plateformes, des bureaux de change en ligne qui convertissent sans ouvrir de compte, ou le Monero. Environ 78M$ sont déjà sortis de la vue. L'argent ne s'évapore pas, il se noie, et chaque jour le dilue un peu plus dans celui des autres, jusqu'à ce qu'il ne soit plus possible de le distinguer.

Rien n'établit donc qu'Arkéa ait demandé un seul blocage à temps. Si la banque l'a fait, c'était tard, et une partie de ce qui a été rattrapé l'a été sans elle. Pendant ce temps, l'argent encore bloquable est passé de 95M$ à 4,2M$. Ce sont ses propres propriétaires qui paient cette aboulie. Le groupe appartient aux caisses locales de Bretagne et du Sud-Ouest, qui appartiennent à leurs sociétaires, des clients qui ont acheté des parts. La banque répète qu'aucun client n'est touché : les 118M€, un quart de ce que le groupe a gagné en 2025, ne manquent sur aucun compte courant. Ils manquent dans la banque de ces clients-là, qui ne savent ni combien a été perdu, ni combien a été rattrapé.

Au 10 novembre, les 1,70M$ de Circle étaient toujours sur le même portefeuille. Une demande suffit à les bloquer, un retrait à les faire disparaître comme le reste. La course continue. Avec un seul coureur.