Un vol majeur de cryptomonnaies soulève des questions sur la sécurité des institutions financières traditionnelles et leurs activités liées aux actifs numériques.
Des enquêteurs spécialisés dans la blockchain ont retracé des transactions suspectes jusqu’à des comptes liés à un grand groupe bancaire européen.
L’incident met également en évidence les difficultés auxquelles les plateformes d’échange et les institutions financières sont confrontées pour suivre les actifs numériques volés. Par ailleurs, l’absence de réaction publique a attiré l’attention sur l’ampleur des pertes déclarées.
ZachXBT relie un vol de cryptomonnaies de 133 millions de dollars au Crédit Mutuel Arkéa
L’enquêteur on-chain ZachXBT a identifié Crédit Mutuel Arkéa comme l’entité bancaire européenne à l’origine d’environ 133 millions de dollars de pertes présumées liées aux cryptomonnaies. Le groupe bancaire français détient plus de 235 milliards de dollars d’actifs au total, même si les cryptomonnaies ne représentent qu’une faible part de son portefeuille.
ZachXBT a suivi d’importantes sorties suspectes sur plusieurs jours et a relié les transactions à des portefeuilles associés au groupe bancaire. Les attaques ont impliqué plusieurs échanges et transferts on-chain sur différentes plateformes.
L’enquêteur a toutefois poursuivi ses recherches sur d’autres pertes et sur de possibles tentatives de blanchiment des fonds volés.
Crédit Mutuel Arkéa est une marque régionale au sein du groupe Crédit Mutuel. Le groupe propose des services bancaires et d’assurance, ainsi que des services de traitement des paiements en marque blanche pour les entreprises fintech et les néobanques.
Certains de ses clients opèrent également dans le secteur des cryptomonnaies, notamment Stripe. Par ailleurs, sa filiale Arkéa Banking Services (ABS) propose des virements SEPA, des services de conversion de monnaie fiduciaire en cryptomonnaies et des comptes aux entreprises fintech conformes au règlement MiCA.
Ni la banque ni ses filiales n’ont rendu publiques leurs réserves en cryptomonnaies ou les portefeuilles associés. Les enquêteurs ont donc repéré l’activité suspecte grâce à des transactions passant par des plateformes d’échange centralisées couramment utilisées.
Les fonds volés ont transité par Kraken, Crypto.com et OKX
L’enquête de ZachXBT a mis au jour environ 106 millions de dollars de pertes provenant de plusieurs comptes sur des plateformes d’échange centralisées le 2 novembre. L’attaquant a retiré des fonds principalement en USDC et en USDT, avant de les faire transiter par plusieurs plateformes.
L’auteur de la menace a ensuite échangé des USDC contre de l’ETH via des services d’échange instantané, notamment WellWallet et Kyrrex. Une partie des fonds est également passée par Wagyu Wallet, où l’attaquant a converti des actifs en Monero (XMR) et les a transférés vers d’autres chaînes.
Selon ZachXBT, le schéma de blanchiment différait des méthodes habituellement associées au groupe Lazarus, lié à la Corée du Nord. Ce groupe transfère généralement rapidement les fonds volés au moyen de transactions on-chain, impliquant souvent Ethereum et des mélangeurs de cryptomonnaies.
L’attaquant présumé a toutefois eu recours à des retraits sur des plateformes d’échange centralisées, une méthode inhabituelle par rapport à ces opérations.
ZachXBT a également retracé certains retraits jusqu’au portefeuille chaud de Kraken. L’attaquant a réparti les fonds en montants plus faibles et les a transférés vers des adresses récemment créées.
La première vague d’attaques a impliqué 11 nouveaux portefeuilles, la plupart des retraits provenant de Kraken. D’autres transactions ont concerné des portefeuilles associés à Crypto.com et OKX, ce qui laisse penser que plusieurs comptes sur des plateformes d’échange ont été compromis.
Une deuxième vague de retraits a transféré 27 millions de dollars supplémentaires, touchant à nouveau principalement des portefeuilles liés à Kraken.
Après l’annonce initiale, Kraken a restreint les portefeuilles liés à l’exploitation présumée de la faille. La plateforme n’avait toutefois pas gelé les fonds associés.
ZachXBT s’interroge sur la réaction des institutions alors que 30 millions de dollars sont blanchis
Les retraits suspects se seraient poursuivis même après que ZachXBT a publiquement exprimé ses inquiétudes au sujet de l’incident. Dans le même temps, Crédit Mutuel Arkéa n’avait pas encore publié de commentaire sur le vol présumé.
Sur sa chaîne Telegram, ZachXBT a présenté son hypothèse de travail : l’exploitation d’une grande institution financière d’Europe occidentale. Il a également avancé que l’institution pourrait chercher à étouffer l’affaire.
L’enquêteur a estimé que plus de 30 millions de dollars avaient déjà transité par des circuits de blanchiment. Il a également indiqué qu’à ce stade, rien ne signalait de gel d’actifs par les forces de l’ordre de l’Union européenne.
Par ailleurs, l’attaquant a attiré l’attention des observateurs du marché Ethereum après avoir acheté 27 553 ETH. Le portefeuille a acquis ces cryptomonnaies à un prix moyen d’environ 2 286 dollars par ETH.
Au départ, cet achat important semblait correspondre à une accumulation par une baleine après une baisse du marché. Les enquêteurs ont toutefois ensuite relié l’adresse à l’exploitation présumée de la faille.
Au lieu de conserver les ETH comme réserves, le portefeuille a commencé à faire transiter des fonds par plusieurs applications et plateformes.
Selon l’enquête, les USDC et les USDT volés n’avaient pas non plus été gelés. La situation contrastait avec la réaction à un récent piratage de Binance, lorsque Circle et Tether avaient rapidement gelé les adresses associées à l’attaquant.
L’article « Une banque française de 235 milliards de dollars dans le viseur après le piratage d’un portefeuille crypto de 133 millions de dollars » est d’abord paru sur Coinfea.