Skip to content
Blockchain Posts

exploit

Vol crypto 133 M$ : ZachXBT désigne Crédit Mutuel Arkéa

ZachXBT attribue le vol crypto de 133 M$ à Crédit Mutuel Arkéa. Première sortie le 1er novembre à 12h25 UTC depuis OKX, 95 % des flux via Kraken.

par 4 min de lecture
exploiton-chainfrancecredit-mutuel-arkeaethereum

L'enquêteur on-chain ZachXBT a nommé, dans une mise à jour Telegram publiée le 4 novembre à 02h24 UTC, l'« institution financière européenne » derrière le vol crypto de plus de 133 millions de dollars dont il suit la piste depuis le 2 novembre : Crédit Mutuel Arkéa, groupe bancaire breton — maison mère de Fortuneo et Suravenir, 235 milliards de dollars d'actifs. L'attribution est présentée comme « alléguée ». La banque n'a pas réagi au moment de la publication, selon Journal du Coin.

Déroulé on-chain

Les mouvements reconstruits par ZachXBT et par Bitquery :

  • 1er novembre, 12h25 UTC : premier retrait sur OKX.
  • 1er novembre, +44 min : premier retrait sur Kraken.
  • 1er–2 novembre, 21 heures : 108,8 M$ en USDC sortent vers 15 wallets, d'après les données Bitquery citées par Journal du Coin.
  • 178 retraits Kraken cumulés — la plateforme concentre environ 95 % des sorties.
  • Nuit du 1er au 2 novembre : environ 63 M$ en stablecoins convertis en 27 553 ETH via UniswapX, à ~2 286 $ par ETH.
  • 2 novembre, 13h47 UTC : environ 78 M$ restent identifiables on-chain, dont 3,7 M$ en USDC théoriquement gelables par Circle.
  • Une partie des fonds transite ensuite par des exchangers instantanés (Kyrrex, WellWallet), une autre est convertie en Monero via Wagyu.

Le total initialement estimé à 106 M$ monte à 133 M$+ après identification par ZachXBT de 27 M$ additionnels de retraits CEX ; l'enquêteur précise que le montant pourrait encore augmenter avec la prise en compte de l'activité OTC.

Les tx hashes individuels ne sont pas publiés dans les sources. Les gels publics confirmés à ce stade : Kraken et Crypto.com disent avoir restreint ou bloqué des comptes liés au vol présumé, tous deux affirmant que leurs propres systèmes n'ont pas été compromis.

Attribution

ZachXBT décrit son hypothèse de travail comme suit : « une grande institution financière d'Europe occidentale a été exploitée et l'affaire fait l'objet d'une dissimulation ». Il écarte « avec un haut degré de confiance » une opération nord-coréenne — la typologie du blanchiment ne colle pas avec les techniques Lazarus habituellement suivies par Chainalysis et Elliptic. L'attribution à Arkéa est présentée comme « alléguée » dans son propre message : la banque n'a pas confirmé, ses dépôts MiCA de mai ne mentionnent pas de détention crypto pour compte propre, et ses résultats 2025 non plus.

Ce qu'on ne sait pas encore

  • Comment l'intrusion s'est produite. Rien dans les communications publiques ne décrit le vecteur initial — social engineering, compromis d'un prestataire, accès interne, faille applicative.
  • Si des fonds de clients sont concernés ou si l'exploitation porte sur un compte propre de la banque ou d'une filiale (Fortuneo, Suravenir).
  • Le périmètre temporel exact — ZachXBT décrit une exploitation « sur plusieurs jours » antérieure aux retraits visibles du 1er novembre.
  • Si la DORA (règlement européen sur la résilience opérationnelle numérique, en vigueur) imposerait à Arkéa une notification d'incident au superviseur et sous quels délais.

À surveiller

  1. Une déclaration de Crédit Mutuel Arkéa ou du Groupe Crédit Mutuel. Un silence prolongé au-delà des obligations DORA serait lui-même un signal.
  2. Les gels USDC publics par Circle au-delà des 3,7 M$ identifiables au 2 novembre.
  3. Les décisions de Kraken sur les 178 retraits : restitution, saisie, ou simple restriction des comptes.
  4. L'ACPR et l'AMF : une banque systémique au niveau régional, un vecteur crypto, un flux de 27 553 ETH convertis en Monero — les deux régulateurs ont des raisons distinctes d'ouvrir une procédure.

Contexte

C'est, si l'attribution d'Arkéa se confirme, le plus gros vol crypto visant une banque européenne traditionnelle documenté à ce jour. Le vol de 140 M$ visant la Banque Centrale du Brésil de juillet 2025 reste la référence au niveau régulateur-bancaire. Le vecteur — retrait massif de stablecoins via comptes CEX, swap UniswapX, conversion Monero — est désormais le schéma standard des attaquants qui savent devancer le gel Circle : rapidité et cross-chain plutôt que mixers à retardement. Nous avions couvert la première annonce du vol de 106 M$ il y a deux jours, avant que la victime ne soit nommée.

Articles liés