Le Crédit Mutuel Arkéa a confirmé avoir été victime d’une cyberattaque ayant permis des opérations frauduleuses. Mais derrière le communiqué prudent de la banque se cache une affaire bien plus importante : sa banque en ligne Fortuneo a été utilisée pour détourner environ 118 millions d’euros, ensuite blanchis en cryptomonnaies.
Dans un communiqué, le Crédit Mutuel Arkéa reconnaît avoir subi une cyberattaque. Le groupe explique que le piratage permis la réalisation d’opérations frauduleuses, sans toutefois préciser leur nature, leur montant ou l’entité directement touchée. La banque assure que l’incident est désormais maîtrisé et que les opérations reprennent progressivement après une suspension temporaire de certaines transactions. Elle affirme également que les avoirs de ses clients ne sont pas concernés.
Pour comprendre l’ampleur de l’affaire, il faut se tourner vers les investigations de ZachXBT, un enquêteur indépendant spécialisé dans le traçage des transactions sur les blockchains. Le 2 novembre, celui-ci signalait le retrait de plus de 106 millions de dollars en stablecoins depuis des comptes associés à une entité européenne non identifiée. Il a ensuite découvert 27 millions de dollars supplémentaires, portant son estimation à plus de 133 millions de dollars, soit 118 millions d’euros. Le Crédit Mutuel Arkéa a finalement été désigné comme victime présumée dans ses publications.
Fortuneo piratée et utilisée pour détourner les fonds
C’est Grégory Raymond, journaliste spécialisé dans les cryptomonnaies et cofondateur de The Big Whale, qui apporte les précisions les plus importantes sur le déroulement de l’opération. Selon ses informations publiées sur X/Twitter, c’est Fortuneo, la banque en ligne appartenant à Crédit Mutuel Arkéa, qui a été directement visée. Les pirates ont réussi à effectuer des virements en choisissant eux-mêmes le nom du bénéficiaire, de manière à ce qu’il corresponde exactement à celui du titulaire du compte destinataire. Une technique permettant de contourner les contrôles de concordance entre le nom de l’émetteur et celui du bénéficiaire.
L’origine de cette manipulation reste inconnue. Une source citée par Grégory Raymond avance deux hypothèses : une compromission des systèmes de paiement de Fortuneo ou une intervention humaine facilitée par une technique proche de l’arnaque au président. Cette dernière consiste à usurper l’identité d’un dirigeant pour pousser un employé à effectuer une opération financière. La seconde piste est privilégiée par cette source, mais rien ne permet encore de confirmer le scénario exact.
Les fonds ont ensuite été dirigés vers plusieurs plateformes d’échange de cryptomonnaies, notamment Kraken, Crypto.com et OKX. Selon les enquêtes de ZachXBT et les analyses de la société Bitquery, les retraits identifiés comprennent 108,8 millions de dollars en USDC, une cryptomonnaie stable indexée sur le dollar. Une fois les fonds récupérés, les pirates ont converti une partie en Ethereum avant de disperser les sommes sur de nombreux portefeuilles. Certains transferts ont également abouti à du Monero, une cryptomonnaie conçue pour rendre les transactions particulièrement difficiles à tracer. Crypto.com a confirmé avoir bloqué des fonds associés à l’affaire, tout en précisant que les comptes de ses utilisateurs restaient sécurisés.
Les clients Fortuneo peuvent-ils être rassurés ?
Crédit Mutuel Arkéa affirme que les avoirs de ses clients ne sont pas concernés. Les perturbations concernent le traitement de certaines opérations, notamment des virements temporairement suspendus. Rien ne permet à ce stade d’affirmer que les comptes courants ou les livrets des particuliers ont été vidés.
Plusieurs questions restent néanmoins sans réponse : comment les hackers ont-ils réussi à déclencher ces virements ? Quel est le montant réel des pertes, sachant que les transactions de gré à gré pourraient ne pas apparaître dans les estimations on-chain ? Et pourquoi les opérations ont-elles pu se poursuivre pendant plusieurs jours ? ZachXBT estime que plus de 30 millions de dollars ont pu être blanchis avant que des mesures de gel ne soient prises. De son côté, Crédit Mutuel Arkéa indique poursuivre l’évaluation des conséquences de l’attaque. Le groupe met également en garde ses clients contre d’éventuelles tentatives de phishing exploitant cette affaire.
Tout cela intervient quelques jours après le gros piratage de Binance, ayant concerné 6,3 milliards de dollars en cryptomonnaies.
