PARIS — Le groupe bancaire français Crédit Mutuel Arkéa a confirmé mercredi avoir subi une cyberattaque à l’origine d’opérations frauduleuses. Selon l’enquêteur indépendant ZachXBT, spécialisé dans le traçage des transactions en cryptomonnaies, plus de 133 millions de dollars, soit environ 118 millions d’euros, auraient été détournés. La banque ne confirme pas ce montant. Elle assure que l’incident est désormais maîtrisé et qu’il n’aura aucune conséquence financière pour ses clients.
Basé en Bretagne, le groupe rassemble notamment les fédérations régionales du Crédit Mutuel et la banque en ligne Fortuneo. Il indique que ses équipes sont intervenues dès la détection de l’attaque et que certaines opérations ont été temporairement suspendues afin d’éviter de nouveaux transferts frauduleux. Leur reprise est annoncée après les dernières vérifications de sécurité.
Des mouvements suspects sur plusieurs plateformes de cryptomonnaies
L’enquêteur ZachXBT affirme que les opérations se sont étalées sur plusieurs jours. Après avoir repéré plus de 106 millions de dollars de mouvements suspects, il a relevé son estimation au-delà de 133 millions en découvrant d’autres retraits. Selon ses recherches, les sommes ont transité par des comptes ouverts sur des plateformes d’échange avant d’être converties en actifs numériques, notamment en stablecoins adossés à des devises.
La société d’analyse blockchain Bitquery a retracé une partie de ces flux, sans pouvoir confirmer le préjudice global ni déterminer à elle seule l’identité de la victime. Les circonstances techniques de l’intrusion et la manière dont les fonds ont été initialement détournés restent à établir.
Une alerte jugée tardive par l’enquêteur
ZachXBT reproche également à l’établissement de ne pas avoir prévenu les autorités suffisamment tôt. Il estime que ce délai aurait permis le blanchiment de plus de 30 millions de dollars qui auraient, selon lui, pu être gelés. Cette accusation n’est pas établie par une enquête officielle rendue publique. De son côté, Arkéa affirme avoir mobilisé immédiatement ses équipes après la découverte de l’incident.
Les plateformes Kraken et Crypto.com ont indiqué avoir restreint des comptes ou bloqué des fonds associés aux mouvements suspects. L’affaire illustre les difficultés de coordination entre établissements bancaires, opérateurs de cryptomonnaies et autorités lorsqu’une fraude se déroule sur plusieurs réseaux de paiement.
Le groupe n’a pas précisé le mode opératoire des auteurs ni communiqué d’évaluation définitive des pertes. Le chiffre de 133 millions de dollars demeure donc une estimation extérieure, tandis que les investigations se poursuivent.
