Crédit Mutuel Arkéa a subi un piratage de 133 millions de dollars, convertis en cryptomonnaies USDC et USDT. L’attaque a duré plusieurs jours sans détection, et le retard dans l’alerte aux autorités a permis le blanchiment de 30 millions supplémentaires. Six mois après avoir déposé un dossier d’agrément crypto, la banque bretonne expose les failles de la supervision bancaire française.
Le timing gênant : agrément crypto et piratage massif
En mai dernier, Crédit Mutuel Arkéa franchissait un cap symbolique en déposant un dossier d’agrément MiCA auprès de l’Autorité des marchés financiers. L’établissement breton, gérant 235 milliards de dollars d’actifs, affichait ainsi son ambition de rattraper son retard sur les services cryptomonnaies. Un retard assumé : Nicolas Théry, président du Crédit Mutuel, critiquait encore publiquement les cryptomonnaies en 2023. Le revirement stratégique de la filiale bretonne semblait marquer une volonté d’adaptation au marché.
133 millions détournés quelques mois plus tard
L’attaque informatique a permis le détournement de 133 millions de dollars, soit 118 millions d’euros. Les fonds ont été immédiatement convertis en stablecoins USDC et USDT via des plateformes d’échange centralisées. L’enquêteur blockchain XachXTB, spécialiste de la traçabilité des cryptomonnaies, a révélé l’ampleur du désastre mercredi 4 novembre. La banque confirme l’incident dans un communiqué laconique, assurant que « l’incident n’a aucune conséquence financière pour ses clients ». Une formule rassurante qui masque mal l’embarras. Car si les clients ne paient pas directement, qui assume les 133 millions perdus ? Les actionnaires ? Les assurances ? La transparence sur ce point brille par son absence. Plus gênant encore : comment justifier une demande d’agrément pour gérer des cryptomonnaies quand la banque se fait pirater massivement quelques mois après ?
Une attaque multi-jours : absence de détection en temps réel
« L’attaque a duré plusieurs jours », affirme XachXTB dans son analyse publiée sur Telegram. Plusieurs jours. Pendant lesquels les pirates ont méthodiquement drainé les comptes, converti les euros en cryptomonnaies, et organisé leur blanchiment. Aucun système d’alerte n’a fonctionné en temps réel. Aucune détection automatique n’a stoppé les transferts frauduleux. Les équipes de sécurité du Crédit Mutuel Arkéa ont mis des jours à identifier la brèche. Dans un secteur bancaire censé disposer des meilleurs outils de cybersécurité, cette lenteur interroge. Les banques françaises investissent des millions dans la sécurité informatique. Où sont passés ces investissements ?
Plus grave : le retard dans l’alerte aux autorités. « L’absence de divulgation a permis le blanchiment de plus de 30 millions de dollars, qui auraient pu être gelés par les autorités européennes », dénonce XachXTB. La banque a suspendu certaines transactions « par mesure de précaution » une fois l’attaque détectée, mais trop tard. Les pirates avaient déjà converti une partie substantielle du butin.
Stablecoins USDC et USDT : blanchiment facilité par l’absence de contrôle
Les pirates ont utilisé les deux plus gros stablecoins du marché, USDC et USDT, adossés au dollar américain. Ces cryptomonnaies « stables » permettent de transférer rapidement de grosses sommes sans volatilité. Leur utilisation pour blanchir 133 millions de dollars révèle un vide réglementaire béant. Les plateformes d’échange centralisées (CEX) utilisées pour la conversion disposent théoriquement de procédures KYC (Know Your Customer) strictes. Pourtant, les pirates ont réussi à blanchir leurs fonds. Soit les procédures sont contournables, soit elles sont insuffisamment contrôlées. La régulation MiCA, censée encadrer les cryptoactifs en Europe, n’était manifestement pas opérationnelle pour bloquer ces transferts.
La banque affirme : « aucun impact clients »
« Dès la détection de cette attaque, nos équipes se sont immédiatement mobilisées et ont pris, par mesure de précaution, la décision de suspendre temporairement certaines transactions afin de sécuriser les opérations et de prévenir tout nouveau mouvement frauduleux », assure Crédit Mutuel Arkéa dans son communiqué. a banque insiste : « L’incident n’a aucune conséquence financière pour ses clients. » Techniquement exact. Mais politiquement trompeur. Car si les clients ne perdent pas directement d’argent, ils perdent autre chose : la confiance.
