L'affaire a commencé sur Telegram, pas dans un communiqué. L'enquêteur ZachXBT a d'abord parlé d'une institution financière européenne qui s'est fait voler plus de 100 millions de dollars en stablecoins, avant de nommer le Crédit Mutuel Arkéa. La banque reconnaît maintenant des opérations frauduleuses, sans confirmer un montant qui dépasserait les 118 millions d'euros.
Des retraits éclair
Les retraits ont commencé le 1er novembre et, en moins d'une journée, presque 110 millions de dollars en USDC, un stablecoin indexé sur le dollar, ont quitté des comptes détenus chez Kraken, Crypto.com et OKX, dispersés vers une quinzaine de portefeuilles. Kraken concentre à elle seule l'essentiel des mouvements, et en fin de soirée, la quasi-totalité des fonds avait déjà quitté les plateformes. Le Crédit Mutuel Arkéa, maison mère de Fortuneo et de Suravenir, gère quand même plus de 211 milliards d'euros pour 5,6 millions de clients depuis son siège du Finistère. La banque assure que l'incident est aujourd'hui maîtrisé et qu'il n'a aucune conséquence financière pour ses clients.
La traque de ZachXBT
Dès le 2 novembre, ZachXBT, un enquêteur indépendant qui piste les vols de cryptomonnaies sur la blockchain, a publié une première alerte sur une banque européenne victime de retraits suspects. Le lendemain, il ajoutait 27 millions de dollars au compteur et accusait l'établissement de vouloir étouffer l'affaire, avant de lâcher le nom du Crédit Mutuel Arkéa dans la nuit de mardi à mercredi. Le blanchiment est allé très vite, avec 63 millions de dollars de stablecoins convertis en plus de 27 000 ethers dès la première nuit, et une partie du butin a filé vers le Monero, une cryptomonnaie pensée pour être intraçable. L'enquêteur écarte la piste des hackeurs nord-coréens, et Kraken comme Crypto.com affirment avoir bloqué des comptes liés au dossier, sans intrusion chez eux.
Un silence qui coûte cher
Selon ZachXBT, plus de 30 millions de dollars auraient encore pu être gelés si la banque avait donné l'alerte plus tôt, alors que le règlement européen DORA impose justement de notifier un incident majeur sous 24 heures. On ne sait pas comment les voleurs sont entrés, et on ne sait pas non plus pourquoi une banque mutualiste détenait de telles sommes en stablecoins sur des plateformes d'échange, elle qui a déposé en mai une demande d'agrément MiCA pour proposer des services crypto à ses clients. Bonne nouvelle quand même, l'épargne des particuliers n'est a priori pas concernée, les fonds venaient de comptes ouverts chez les plateformes, pas des livrets.
On en dit quoi ?
Une banque de cette taille qui apprend la transparence à cause d'un enquêteur pseudonyme sur Telegram, on a vu meilleur exercice de communication. Cette histoire confirme surtout que sur une blockchain, tout est public, et qu'un vol pareil ne peut plus passer inaperçu, même quand la victime préfère se taire. Et chaque heure de silence s'est visiblement payée en millions partis vers le Monero.
