Piratage Crédit Mutuel Arkéa : ZachXBT évoque plus de 133 millions de dollars volés en stablecoins

Ce qu’il faut retenir :

• ZachXBT désigne Crédit Mutuel Arkéa comme victime présumée d’un vol de plus de 133 millions de dollars.
• Les fonds, retirés en USDC et USDT de plusieurs plateformes, ont été convertis en partie en Monero.
• La banque n’a publié aucun communiqué et les accusations n’ont été vérifiées par aucune autorité.

Piratage Crédit Mutuel Arkéa : que s’est-il passé ?

Le piratage Crédit Mutuel Arkéa présumé porte sur plus de 133 millions de dollars. Mardi 3 novembre au soir, l’enquêteur on-chain ZachXBT a désigné le groupe bancaire coopératif breton comme la victime d’un vol de stablecoins retirés de plusieurs comptes ouverts sur des plateformes d’échange centralisées. Aucune confirmation officielle n’a suivi.

L’affaire démarre le lundi 2 novembre. Sur son canal Telegram, ZachXBT signale alors qu’une entité européenne non identifiée a perdu plus de 106 millions de dollars la veille, sous forme d’USDC et d’USDT, les deux principaux stablecoins adossés au dollar. Le lendemain, il relève le total après avoir retracé 27 millions de dollars de retraits supplémentaires, dont une partie a eu lieu après sa première alerte.

Selon lui, l’attaque s’est étalée sur plusieurs jours. Le préjudice réel pourrait dépasser les 133 millions de dollars si l’on ajoute d’éventuelles transactions de gré à gré (OTC), réalisées hors des carnets d’ordres publics et donc plus difficiles à suivre.

Comment les fonds volés ont-ils été blanchis ?

D’après ZachXBT, l’attaquant a échangé massivement ses USDC contre de l’ETH, avant de transférer les fonds vers des services d’échange instantané comme WellWallet ou Kyrrex. Une partie a ensuite été convertie en Monero (XMR), une cryptomonnaie conçue pour masquer l’expéditeur, le destinataire et le montant des transactions, via le service Wagyu. Le reste a circulé d’une blockchain à l’autre par des bridges, ces passerelles qui transfèrent des actifs entre réseaux.

L’enquêteur affirme avoir « un haut degré de confiance » (high degree of confidence) que le Lazarus Group nord-coréen n’est pas impliqué.

Le profil tranche avec les grands vols attribués à Pyongyang, dont celui de Bybit en février 2025, estimé à 1,5 milliard de dollars. Ici, le butin transite surtout par des stablecoins centralisés, que leurs émetteurs Tether et Circle ont la capacité technique de geler sur demande.

Pourquoi ZachXBT accuse la banque de silence

ZachXBT soupçonne une grande institution financière d’Europe de l’Ouest d’avoir étouffé l’incident. Il reproche à la banque d’avoir laissé blanchir plus de 30 millions de dollars, estimant qu’un signalement rapide aux forces de l’ordre européennes aurait permis de geler ces fonds avant leur conversion en Monero.

Crédit Mutuel Arkéa revendique plus de 5,6 millions de clients et un total de bilan de 211,5 milliards d’euros, soit environ 237 milliards de dollars. Le montant avancé reste marginal rapporté à ce bilan, mais une perte de cette taille sur des comptes crypto serait inédite pour une banque de détail française.

Aucune de ces accusations n’a été confirmée : elles reposent uniquement sur l’analyse on-chain de ZachXBT, et la banque n’a publié aucun communiqué pour les confirmer ou les démentir à ce stade.

Ce qu’il faut surveiller

Premier signal attendu : une prise de parole de Crédit Mutuel Arkéa. Depuis janvier 2025, le règlement européen DORA, qui encadre la résilience opérationnelle numérique du secteur financier, impose aux banques de déclarer les incidents informatiques majeurs à leur superviseur dans des délais stricts.

Deuxième point : d’éventuels gels d’adresses par Tether ou Circle, qui réduiraient la part du butin encore exploitable. Enfin, ZachXBT pourrait réviser son total à la hausse s’il identifie les transactions OTC qu’il soupçonne.