ZachXBT a déclaré qu'une institution d'Europe occidentale dissimulait un piratage de 133 millions de dollars

Lundi, personne ne savait qui avait perdu cet argent. Mercredi matin, la victime avait un nom, une déclaration et de nombreuses questions auxquelles répondre.

Tout a commencé le 2 novembre, lorsque ZachXBT a publié une alerte sur sa chaîne Telegram. Il a déclaré qu’une entité européenne dont le nom n’a pas été révélé avait perdu plus de 106 millions de dollars la veille sur plusieurs comptes de plateformes d’échange centralisées. Le pirate a tout retiré sous forme d’USDC et d’USDT, puis a commencé à échanger ces cryptomonnaies contre de l’ETH, en passant par différentes plateformes d’échange instantanées, avant d’en convertir une partie en Monero. Il a publié 11 adresses. DEGEN NEWS a relayé l’alerte sur X en quelques heures, et Wu Blockchain l’a également diffusée.

Un jour plus tard, le montant s’élevait à 133 millions de dollars. ZachXBT avait découvert 27 millions de dollars supplémentaires provenant de retraits sur des plateformes d’échange, dont certains avaient été effectués après sa première publication. Selon sa théorie, une grande institution financière d’Europe occidentale avait été piratée et que l’affaire était « actuellement étouffée ». Ce qui l’agaçait le plus, c’était le timing. Selon lui, plus de 30 millions de dollars avaient été blanchis, une somme que les forces de l’ordre de l’UE auraient pu geler si l’incident avait été correctement signalé.

Tard dans la soirée du 3 novembre, il a révélé le nom de l’établissement: le Crédit Mutuel Arkéa, une banque coopérative française disposant d’environ 211,5 milliards d’euros d’actifs et comptant plus de 5,6 millions de clients. Il a indiqué que l’attaque s’était déroulée sur plusieurs jours. « Je soupçonne que le montant volé soit plus important si l’on tient compte des opérations de gré à gré », a-t-il ajouté.

La réponse de la banque

La partie « qui continue de le cacher » de l’histoire n’a pas duré longtemps. Le 4 novembre, Arkéa a déclaré à des médias français, notamment Cryptoast et France Télévisions, qu’elle avait subi une attaque ayant permis des opérations frauduleuses. Elle a indiqué que l’incident était désormais maîtrisé, que les clients ne subiraient aucune conséquence financière et que certaines transactions avaient été temporairement suspendues. Elle n’a fourni aucun chiffre concernant les pertes ni aucune explication sur la manière dont les pirates avaient pu s’introduire dans le système.

La banque a donc reconnu l’incident moins d’un jour après avoir été mise en cause. La question de savoir si elle en a informé les autorités européennes avant que l’argent ne soit transféré reste en suspens, et je n’ai rien vu qui permette d’y répondre dans un sens ou dans l’autre.

Peut-être que ce ne sont pas des cryptomonnaies qui ont été volées

C’est là que les choses deviennent étranges. Selon Cryptoast, le journaliste Grégory Raymond a rapporté que l’argent aurait pu quitter la banque sous forme de monnaie fiduciaire classique et n’aurait été converti en cryptomonnaie qu’ensuite, dans le cadre d’une opération de blanchiment. Sa source a décrit un réseau organisé de comptes « mules ». Des articles français ont établi un lien entre la fraude et Fortuneo, la banque en ligne d’Arkéa. Une source a avancé deux explications: une compromission des systèmes de paiement de Fortuneo, ou une opération d’ingénierie sociale du type « fraude au PDG ». Un autre témoignage indique que les fonds ont été transférés vers des comptes d’échange ouverts sous de fausses identités ayant contourné les procédures KYC. L'analyse des données on-chain réalisée par Bitquery suggère que le pirate contrôlait les identifiants d’accès aux plateformes d’échange. Rien de tout cela n’est confirmé, et les différents récits ne concordent pas parfaitement.

Le montant reste également flou. 133 millions de dollars correspondent à environ 118 millions d’euros. Certains médias français parlent de « plus de 100 millions d’euros ». ZachXBT estime que le montant réel est plus élevé.

Ce que révèle la blockchain

Bitquery a retracé 108,8 millions de dollars en USDC quittant des comptes chez Kraken, Crypto.com et OKX sur une période d’environ 21 heures. Au cours d’une fenêtre de quatre heures, environ 62,98 millions de dollars en stablecoins ont été convertis en 27 553 ETH. À 13 h 47 UTC le 2 novembre, environ 78,3 millions de dollars se trouvaient encore dans des portefeuilles liés aux attaquants, 30,5 millions de dollars avaient déjà quitté les adresses suivies, et seuls 3,74 millions de dollars étaient en USDC que Circle pouvait geler.

Kraken indique avoir restreint l’accès aux comptes liés à l’incident. Crypto.com affirme avoir bloqué les fonds concernés. Les deux sociétés précisent que leurs propres plateformes n’ont pas été compromises. OKX serait en train d’examiner ces allégations.

Ces deux déclarations sont sans doute vraies. Il n’en reste pas moins que 21 heures, c’est long pour que plus de 100 millions de dollars s’échappent des comptes de trois grandes plateformes qui disposent toutes d’équipes chargées de la conformité.

ZachXBT affirme également avec un « haut degré de certitude » qu’il ne s’agit pas de Lazarus. Le parcours de blanchiment est différent, avec des échanges instantanés, l’utilisation de Wagyu pour la conversion en Monero et de nombreux sauts de chaîne. Le timing rend cette affaire particulièrement suspecte: elle survient quelques jours après le piratage de Binance, qui a coûté environ 6,4 milliards de dollars et que le FBI a attribué au groupe nord-coréen TraderTraitor. Cette attaque est de moindre ampleur et plus désordonnée, et personne ne connaît l’identité de l’attaquant.

Ce qui reste à éclaircir

Le montant, la méthode et l’identité de l’attaquant ne sont pas confirmés. Arkéa indique que les opérations normales reprendront une fois les derniers contrôles de sécurité effectués. La possibilité de récupérer une partie des fonds restants dépendra du montant encore présent dans ces portefeuilles, et ce chiffre évoluait très rapidement.