Crédit Mutuel Arkéa confirme qu’une cyberattaque a permis des opérations frauduleuses. Le groupe dit avoir maîtrisé l’incident et ne communique aucun bilan chiffré. En parallèle, le traçage de mouvements suspects en cryptomonnaies montre à quelle vitesse les possibilités de blocage peuvent se réduire.
Dans la nuit du 1er au 2 novembre, il a fallu un peu plus de quatre heures pour convertir près de 63 millions de dollars de cryptomonnaies indexées sur le dollar en ethers. La société d’analyse Bitquery a pu suivre l’opération sur Ethereum. Ce qu’elle ne peut pas lire dans ce registre public, c’est le nom du titulaire des comptes d’où sont partis les fonds. La piste est visible. Son point de départ, côté bancaire, reste à établir.
Mercredi 4 novembre, Crédit Mutuel Arkéa a confirmé avoir subi une attaque informatique qui a permis des opérations frauduleuses. Le groupe indique avoir suspendu certaines transactions après la détection et prévenu les autorités compétentes et les organismes de supervision. Il assure que l’incident est maîtrisé et qu’il n’aura aucune conséquence financière pour ses clients. Le montant des pertes et le détail des opérations concernées restent inconnus.
D’où viennent les 133 millions de dollars ?
Le chiffre vient de ZachXBT, un enquêteur indépendant qui suit les transactions sur les blockchains. Après une première estimation de plus de 106 millions de dollars, il a signalé 27 millions de dollars de retraits supplémentaires, puis désigné Arkéa comme la victime présumée. Sur un périmètre plus restreint, Bitquery a retracé 108,8 millions de dollars de sorties en USDC sur Ethereum, sans pouvoir identifier la victime. Aucun de ces chiffres ne donne la perte nette du groupe.
Reste la question du premier mouvement d’argent. D’après Cryptoast, des fonds en monnaie traditionnelle auraient d’abord été détournés via Fortuneo, puis convertis en cryptomonnaies. Le rôle précis de la banque en ligne et la manière dont les opérations ont été déclenchées restent à confirmer.
Qui peut encore bloquer les fonds ?
Une banque peut suspendre des opérations à venir. Pour un virement SEPA déjà exécuté, elle peut demander un retour des fonds à l’établissement destinataire. Lorsqu’une plateforme crypto détient encore les actifs, elle peut en bloquer le retrait. Kraken et Crypto.com ont déclaré à Cointelegraph avoir restreint des comptes ou bloqué des fonds associés aux mouvements suspects. On ignore quelle part a effectivement pu être récupérée.
La conversion en ethers change la donne. Circle, qui émet l’USDC, peut empêcher une adresse de transférer ce jeton dans certaines circonstances. Une fois l’USDC échangé contre de l’ether, ce levier disparaît. Les mouvements peuvent rester visibles, mais pour intervenir il faut alors trouver un acteur capable de retenir les fonds, par exemple une plateforme qui les reçoit à son tour.
Le délai qui manque au bilan
À quelle heure la première opération suspecte a-t-elle été repérée ? Combien de temps s’est écoulé avant le blocage des transactions et l’alerte aux acteurs capables d’agir ? Les éléments publics ne permettent pas encore de reconstituer cette chronologie. Elle dira davantage sur la capacité de réaction que le seul montant annoncé. Quatre heures ont suffi pour que près de 63 millions de dollars changent de forme. C’est le délai auquel il faut confronter les procédures d’alerte.
