Au Crédit Mutuel Arkéa, les clients sont aussi les propriétaires. Parce qu'en plus d'être la banque à qui parler, le Crédit Mutuel c'est la banque qui appartient à ses clients, et ça change tout. Y compris cette histoire. Parce que le groupe appartient aux caisses locales du Crédit Mutuel de Bretagne et du Sud-Ouest, et ces caisses appartiennent à leurs sociétaires, des clients qui ont acheté des parts. Le tout pèse 5,64M de clients, 11'660 salariés et une quarantaine de filiales, dont la banque en ligne Fortuneo¹.

C'est dans cette caisse, longtemps considérée comme le cousin machin, en guerre contre les autres, que des pirates viennent de se servir, en tapant dans l'argent de la banque. Aucun client n'est touché selon le groupe², qui visiblement a oublié son slogan publicitaire. La méthode est encore floue, et plusieurs sources au sein de la banque ne s'accordent pas. Quant aux représentants officiels habilités à parler au nom du Crédit Mutuel, ils ne semblent pas en savoir davantage.

Reste ce que le groupe a fini par reconnaître. Les pirates sont entrés par l'ordinateur d'un prestataire qui a des droits sur les transactions de la banque³. De là, ils envoient des virements vers « d'autres acteurs bancaires », selon les mots du groupe², à des dates que personne ne veut confirmer. Alors Zero Bullshit est allé lire la blockchain.

Tout commence le dimanche 1er novembre, jour de Toussaint, quand toutes les agences sont fermées. Un week-end férié. Quand personne ne regarde. L'argent détourné atterrit sur des comptes ouverts chez 3 gros CEX, Kraken, Crypto.com et OKX, des plateformes d'échange de cryptos qui font office de bureaux de change en ligne. Toutes parfaitement réglementées, au passage. Sur ces comptes, les euros sont changés en USDC, un stablecoin émis par l'américaine Circle, cotée à New York, qui place une grande partie de ses réserves dans un fonds géré par BlackRock⁴. Puis l'USDC quitte les plateformes, retiré vers 18 portefeuilles que contrôlent les fraudeurs. Les receveurs.

1. Virements depuis Arkéa

Des virements en euros partent du compte propre du groupe vers d'autres banques. Selon Arkéa, les attaquants sont entrés par la plateforme d'un prestataire, et non par Fortuneo.

2. Des comptes sur les plateformes

Les euros arrivent sur des comptes Kraken, Crypto.com et OKX passés au contrôle d'identité. Kraken dit qu'aucun compte client n'a été piraté chez elle.

3. Euros changés en USDC

Sur ces comptes, les euros achètent de l'USDC, le dollar numérique de Circle. Rien en USDT : depuis 2024 et 2025, cette monnaie n'est plus vendue aux clients européens de ces 3 plateformes.

4. Retraits vers 18 portefeuilles

361 retraits partent des portefeuilles de sortie communs des plateformes. C'est la première trace visible. « Kraken » désigne ici la porte de sortie, pas l'origine de l'argent.

5. Blanchiment

508 portefeuilles, 63M$ changés en ether dans la nuit, puis des bridges vers Tron et vers Hyperliquid, où 14,25M$ ont été changés en jeton Monero, des échanges instantanés et d'autres plateformes.

Graphique 1 · Des euros devenus cryptos

💡 Petit lexique pour suivre l'argent
Stablecoin : jeton qui vaut toujours 1$, parce que son émetteur garde l'équivalent en dollars. L'USDC est émis par Circle, l'USDT par Tether. Ce sont les dollars numériques de cette histoire.
Blockchain : registre public où chaque transfert est inscrit, lisible par n'importe qui. Ici, surtout Ethereum et Tron.
Portefeuille : l'équivalent d'un compte sur une blockchain, sans nom attaché. En créer un prend quelques secondes. Qui détient sa clé secrète dispose de l'argent.
Adresse : le numéro d'un portefeuille. Sur Ethereum, une suite de 42 caractères qui commence par 0x.
Geler : bloquer des fonds. Une plateforme peut geler le compte d'un client. Une fois l'argent sorti vers un portefeuille, seul l'émetteur d'un stablecoin peut encore geler ses jetons.
Ether et DAI : la cryptomonnaie d'Ethereum, et un stablecoin sans émetteur central. Personne ne peut les geler.

La suite, Zero Bullshit l'a reconstituée du 1er au 5 novembre, retrait par retrait, transfert par transfert. Pour les fraudeurs, la course commence au premier retrait. Il faut vider les comptes avant qu'une alerte ne les ferme, puis changer les USDC en quelque chose que personne ne peut geler. Devant eux, une nuit de jour férié.

Le premier essai part d'OKX à 13h25 : 48,9K USDC, vers un portefeuille créé le jour même. À 16h33, sur un compte Kraken, les retraits s'enchaînent. 49K USDC, puis 75K, 80K, 85K, 90K, 95K. Une main qui tâte le plafond. Les montants se calent ensuite juste sous la barre des 100K : 99K, 99,9K, 99,5K. Un retrait toutes les 1 à 3 minutes. Vers 17h20, 2 autres comptes s'y mettent, et 3 comptes retirent alors en même temps. L'un en montants ronds. Un autre au dollar près : 48'720, 49'367, 46'444. 2 mains différentes, ou un programme réglé pour en imiter une. À 19h, 12M$ sont sortis.

Vers 18h30, les retraits passent aux millions, sur 4 nouveaux receveurs. À 21h06, un autre compte retire 1K USDC, pour voir. 2 minutes plus tard, 9,8M$. À 21h52, un 2e compte refait exactement la même chose. Puis à 22h20, 22h35 et 22h51, chaque fois près de 9,6M$, 2 fois après le même test à 1K. Entre 21h et minuit, 73M$ quittent Kraken, plus de la moitié du butin en 3 heures. Aucun de ces retraits n'est bloqué.

Graphique 2 · Heure par heure

Le dernier retrait de cette taille arrive à 23h04, sur une adresse qui n'a rien de neuf. Kraken lui a versé 7,15K USDC le 4 mai, puis 48 fois de petites sommes jusqu'à la fin octobre, de 1,3K$ à 72K$. Ce soir-là, 9,58M$, 1'340 fois le premier versement. 108 secondes plus tard, l'argent est reparti.

À minuit, 105M$ ont quitté les plateformes. Il en sortira encore 24M$ le lundi, et 90K$ le mardi : 361 retraits, 129,6M$ en tout, presque tout chez Kraken. Vers minuit, les portefeuilles des fraudeurs détiennent environ 95M$ en dollars numériques, encore gelables. Le lundi à 9h, à l'ouverture des bureaux, il en reste 8M$.

Graphique 3 · Les 18 receveurs