Crédit Mutuel Arkéa : 129,6 M$ retirés de trois plateformes en deux jours, j'ai suivi l'argent sur la blockchain

Résumé#

Le 2 novembre, ZachXBT signale le vol présumé de plus de 106 M$ à une entité européenne. Le 4, il nomme Crédit Mutuel Arkéa, et la banque confirme une attaque le jour même. J'ai voulu voir ce que la chaîne permettait de vérifier soi-même, sans accès à rien d'autre que des données publiques.

J'arrive à 129 595 361 $ d'USDC, en 361 retraits vers 18 portefeuilles (§2). Kraken en représente 95,4 %, devant Crypto.com et OKX. Bitquery publie 126,04 M$ sur 17 de ces portefeuilles, et je retombe exactement sur son total. Le 18e, 3,55 M$, n'est rattaché que par mon recoupement : c'est le lien le moins solide du billet.

L'argent passe en ETH en quelques heures, puis se disperse (§3, §4). Un seul portefeuille vend 63 M$ de stablecoins dans la nuit du 1er au 2 novembre. Ensuite, la plus grosse part lisible part vers Tron, et au moins 11,8 M$ alimentent des commandes de Monero chez Wagyu.

Il reste peu de choses à geler (§5). Le 5 novembre, 38,1 M$ étaient encore sur Ethereum, sur des adresses à lien fort ou moyen, presque tout en ETH et en DAI, qu'aucun émetteur ne peut bloquer. Restaient environ 5,6 M$ d'USDC et d'USDT gelables. Je ne publie pas les adresses concernées quand elles ne sont pas déjà publiques.

Je n'ai pas trouvé l'auteur, et les données publiques ne le permettent pas (§6). Par contre, la question se ramène à quelques demandes précises : les comptes clients des plateformes, un dépôt Kraken crédité le 3 novembre, un compte Revolut crédité en mai, les registres de Wagyu et les bénéficiaires des virements.

Le lien entre la banque et ces portefeuilles reste une déduction (§8). Les virements ne sont pas sur la chaîne, et aucun document public ne relie ces adresses à Arkéa. Je me suis aussi trompé plusieurs fois en route, et je le raconte au §7, parce que ces erreurs sont faciles à refaire.

Les scripts sont dans tools/ et les commandes dans runbook.md. Les graphes complets et les adresses encore gelables restent hors paquet.

1. Ce que disent la banque et les plateformes#

La banque a publié deux communiqués le 4 novembre. Celui de 13 h parle d'une attaque « ayant permis la réalisation d'opérations frauduleuses », sans montant, sans filiale et sans un mot sur les cryptomonnaies. Celui de 17 h 30 va plus loin : les attaquants ont utilisé le compte propre de la banque pour des transactions vers d'autres acteurs bancaires, ce qui leur a « potentiellement » permis de convertir l'argent en cryptomonnaie. La banque dément toute entrée par Fortuneo, évoque la plateforme d'un prestataire, et valide « l'ordre de grandeur » de 118 M€ sans confirmer le chiffre.

D'après l'AFP et franceinfo, le parquet de Paris a reçu une plainte le 4 novembre au matin et a ouvert une enquête, confiée à l'Office anti-cybercriminalité.

Côté plateformes, Kraken écrit à Cointelegraph que l'incident « did not originate on the Kraken platform », dit avoir restreint les comptes concernés et ajoute que ses systèmes n'ont pas été compromis. Crypto.com dit avoir bloqué les fonds liés à l'incident. OKX a d'abord dit examiner le sujet, puis CoinDesk a rapporté le gel d'un compte de client institutionnel.

La presse ne dit pas toujours la même chose. Le Figaro écrit que Fortuneo a été piratée, ce que la banque dément, mais je n'ai pu lire que le début de l'article. L'AFP rapporte une estimation provisoire d'environ 100 M€ qui ne figure pas dans le communiqué de 17 h 30. Je n'ai pas pu lire Le Télégramme, source du chiffre de 118 M€.

2. Les retraits : 361 paiements vers 18 portefeuilles#

Je compte uniquement les transferts du vrai contrat USDC. C'est important : plus de mille faux jetons usurpent les symboles USDC et USDT autour de ces adresses (§7).

Le premier retrait part d'OKX le dimanche 1er novembre à 12:25 UTC, et Kraken suit à 13:09. Le gros tombe le soir : 73,21 M$ de 20 h à 23 h UTC. Les paiements aux 15 premiers portefeuilles s'arrêtent le lundi à 09:09. Puis deux salves partent encore, 8,52 M$ de 15:46 à 15:50 et 8,73 M$ de 16:28 à 16:30, soit plus de trois heures après le premier message de ZachXBT.

Le compte qui paie pour Kraken, 0x2744dfd9898f0babbc570cc594bbbc84b487a22b, n'a pas d'étiquette publique. Je le rattache à Kraken parce que ses appels sont envoyés par 0x05ff6964d21e5dae3b1010d5ae0465b3c450f381, étiqueté « Kraken: Hot Wallet 4 » sur Etherscan. Même logique pour OKX : 0x1dfc6bec8499fcb5e3151c7c6d27feb9d7eae1d4, piloté par « OKX 217 ». Pour Crypto.com, 0x46340b20830761efd32832a74d7169b29feb9758 porte directement l'étiquette « Crypto.com 12 ».

Le 18e portefeuille#

0xf53243de… n'apparaît ni chez ZachXBT ni chez Bitquery. Je l'ai retenu parce qu'il partage 7 adresses ordinaires avec le graphe principal, dont un collecteur direct, 0xbf88d9ac… (1,35 M$). Bitquery suit les paiements de 50 000 $ et plus et ne le retient pas ; le plus gros de ses retraits fait 59 600 $. Je le garde, mais je ne le mets pas au même niveau que les autres.

Il pose aussi une question de calendrier. Des sources de presse citées par Bitquery situent le début du gel chez Kraken le lundi soir, et Bitquery place son dernier paiement à 16:30 UTC. Or ce portefeuille reçoit encore 3 retraits après cette heure (83 895 $). Le dernier, 6 785 $, arrive le 3 novembre à 12:09:47 UTC (tx 0x22f0162a091d39cac017cbf21e28c528aa5af7df7dad6a9564ea8416d0a1c4c8). Soit ce compte n'était pas encore restreint, soit il ne fait pas partie du même ensemble.

3. La conversion : 63 M$ en ETH en une nuit#

Les 15 premiers portefeuilles renvoient l'argent vers 26 collecteurs, souvent en quelques minutes. Puis 0x9eca05d78f6751c91ab048858b7d21a67c015547 reçoit 0,1253 ETH de « Well Wallet: Hot 1 » pour payer ses frais, le 1er novembre à 23:40:59 UTC. Quatre minutes plus tard, il commence à vendre : 60,72 M$ d'USDC jusqu'à 04:02, puis 2,62 M$ d'USDT jusqu'à 08:45.

Il envoie ensuite 27 699 ETH vers dix adresses, surtout 0x65c33571ca72885637076b84db517809c16eb841 et 0xbe95eb71eee22f7641d970afc1e7bb5cbb1aa85a. Cet ETH est découpé en dizaines de transferts jusqu'au 5 novembre.

Circle peut geler de l'USDC à n'importe quelle adresse. Personne ne peut geler de l'ETH à la source. Sur toute cette période, je n'ai vu aucun gel d'USDC.

4. Où part l'argent#

Pour avoir une vue d'ensemble, j'ai fait un graphe de 537 nœuds et 1 383 flux d'au moins 50 000 $, puis réparti les 129,6 M$ de proche en proche, proportionnellement aux sorties de chaque adresse. C'est une estimation, avec l'ETH à 2 300 $ et un dernier flux relevé le 5 novembre à 03:44 UTC. Elle répartit la valeur, elle n'attribue rien à personne, et recevoir ces fonds n'implique aucune complicité de ces services.

Ce tableau ne donne pas les volumes bruts, qui sont plus élevés : 31,95 M$ vers LI.FI et 9,66 M$ vers Rango, par exemple. Bitquery publie d'autres chiffres, nets des retours et lus plus tard (LI.FI 36,09 M$, Rango 2,44 M$). Sur LI.FI, l'écart s'explique en partie par 11,1 M$ partis après le mercredi matin d'après Bitquery. Sur Rango, je n'ai pas d'explication.

Tron#

C'est la principale destination lisible : 26,4 M$ sur les 39,1 M$ dont les paramètres de transaction donnent la destination. Le gros passe par Layerswap, 17,21 M$ vers trois comptes créés pour l'occasion, qui renvoient tout en quelques minutes.

J'ai retrouvé 28 des 29 envois sur Tron, en montant et en heure. Une autre source, TFG4wBaDQ8sHWWP1ACeSGnoNR6RRzevLPt, se rattache au vol au dollar près par trois envois USDT0 du 3 novembre (2,82 M$). En revanche, 2,88 M$ venus de TX5XiRXdyz7sdFwF5mnhT1QoGCpbkncpke sont d'origine inconnue et peuvent n'avoir aucun rapport.

Au-delà du deuxième rang, ces adresses brassent bien plus que l'argent du vol, donc je m'arrête là. Aucune des 222 adresses de ce graphe ne porte d'étiquette d'entité sur TronScan.

Monero, via Wagyu#

71 comptes reçoivent de l'argent sur Arbitrum, le déposent sur Hyperliquid et achètent le jeton XMR1, « XMR - Wagyu.xyz » : 11 819 072 USDC déposés et 18 710,5 XMR1 lus le 5 novembre à 09:51 UTC, sans aucune sortie. Ma première lecture a été de voir là des fonds en attente, donc la piste de gel la plus urgente. C'était faux.

Ces 71 comptes reçoivent leurs frais du même expéditeur, 0xae06669dfd3e932476f00ea49fce82e5e63f83bf, qui a financé plus de 5 000 comptes en moins de trois semaines. Arbiscan indique qu'il est financé par « Wagyu.xyz 1 ». Et sur 55 comptes témoins sans lien avec l'affaire, aucun n'a fait sortir ses XMR1 non plus, parfois 18 jours après l'achat. Ce sont des portefeuilles d'ordre du service. Le Monero a donc probablement déjà été livré, ce que la chaîne ne permet pas de voir. Cette piste vaut pour les registres de commande de Wagyu, pas pour un gel.

Cinq autres comptes de ma liste ne relèvent pas de Wagyu. D'après l'API publique de Relay, ils envoient 1,0 M$ d'USDC vers Hyperliquid. Là-bas, 799 908 $ passent par des adresses à usage unique vers 0x66cf0aace1b4e562593bec10ec7868fba9932224, un collecteur aux 11 341 expéditeurs sur les quatre jours que j'ai lus : un service, pas un compte de l'opérateur. Environ 100 000 $ reviennent en USDT sur Ethereum, et je n'ai pas résolu la destination du reste.

Multiswap et les 396 ETH#

0x949e734f9e45637942340cb1f20924797ab1dccc (Multiswap.fi) reçoit 14,26 M$ du graphe. Ses 64 envois USDT0 décodés totalisent 9,25 M$ vers Tron, et 31 entrées sur 39 ont un envoi correspondant dans les 90 minutes. Pour les montants répétés, l'appariement reste une déduction.

Le 3 novembre, 396 ETH partent de 0xa3a98584d410c4e32f9825f6af1168f4e774ae0d, l'adresse dont Tether a gelé l'USDT. Ils passent par 0xd359dfac… et 0xf5968bc4…, puis arrivent à 10:11 UTC sur le dépôt Kraken 0xfa6766b362461a20046451b16277ec5f7d159556, balayé trois minutes plus tard. Ce dépôt sert depuis décembre 2025 : Kraken sait quel compte a été crédité.

5. Ce qui reste, et ce qu'on peut geler#

Tout ce qui suit date du 5 novembre 2026, 10:31:35 UTC pour Ethereum et 10:33:17 UTC pour Tron. J'ai fait une seule lecture, et les soldes bougeaient encore : 0xf19b1257… a échangé environ 5,7 M$ d'ETH contre 5,9 M de DAI le matin même.

Sur les 38,13 M$ à lien fort ou moyen, 34,1 M$ sont en ETH et en DAI, sans émetteur capable de geler. Tether a gelé 1 142 716 USDT sur 0xa3a98584…, mais 1 654 ETH restent libres sur la même adresse. Circle n'a rien gelé, dont les 1 695 191 USDC de 0x18cd13416793e140345d87ec69e12841647a1939, déjà citée par Bitquery.

Restent gelables environ 1,94 M$ d'USDC et 0,93 M$ d'USDT sur Ethereum, et 2,70 M$ d'USDT sur trois comptes Tron à lien solide. Je ne publie pas ces autres adresses : tant qu'un gel reste possible, les afficher ici ne servirait qu'à prévenir celui qui les contrôle. Elles sont réservées aux enquêteurs.

Pour Tron, j'ai calculé un plafond pour chaque adresse : le solde le plus bas depuis le 1er novembre borne ce qui peut encore venir du vol. Ce calcul écarte des adresses qui semblaient prometteuses. TDAZMd5XcMGNs2hyViRMzAj3Kd2Ew9RVRU détient 15,16 M d'USDT, mais avec 2 144 expéditeurs, c'est un collecteur de service, et au plus 2,29 M peuvent venir du vol.

Mes chiffres recoupent bien ceux de Bitquery, lus indépendamment à 08:47 UTC : 37,26 M$ sur 526 adresses chez eux, 38,13 M$ sur 86 chez moi, et ses dix plus grosses détentions figurent toutes dans ma liste, aux mêmes soldes à l'arrondi près.

6. Les traces vers un compte vérifié#

Rien de ce qui suit ne désigne quelqu'un. Ce sont des endroits où une autorité peut poser une question précise.

Six portefeuilles existaient avant le vol. 0x730b…, 0x12d9…, 0xadd9…, 0x29e9…, 0x795a… et 0xe944… sont actifs depuis le 4 mai 2026 au plus tôt, et leur premier ETH vient d'un portefeuille chaud de Kraken. Ce sont donc des adresses de retrait d'un ou plusieurs comptes clients. Avant le vol, ils reçoivent 2,47 M$ de vrais stablecoins, dont 1,33 M$ en 107 retraits Kraken, le plus gros de 72 000 $. Pendant le vol, 0x730b… reçoit 9,58 M$ d'un coup, plus de 130 fois ce record. Rien ne me permet de trancher entre victime, relais et compte frauduleux.

Bitquery y voyait d'abord les portefeuilles de la victime. Depuis le communiqué de la banque, il écrit au conditionnel que comptes et portefeuilles auraient appartenu aux attaquants dès le départ. L'idée de comptes ouverts sous de faux noms vient d'un journaliste et de ses sources, et aucune plateforme ne l'a confirmée.

Un portefeuille pivot a payé un dépôt Revolut. 0x94dc65f1f9ff552d6b61d5560eae0f43ae4c06f0 ne fait transiter que 19 574 $ en dix mois, puis 5,89 M$ à partir du 1er novembre. Le 9 mai 2026, il envoie 1 592,21 USDC (tx 0x74d6514f11404cef40446059d9aa60192f05c4b53efc513f0d932d953d293159) à une adresse qui reçoit ses frais de « Revolut 1 » et balaye vers « Revolut: Hot Wallet ». C'est le schéma d'une adresse de dépôt, donc Revolut sait quel compte a été crédité. Ce compte peut être celui d'une simple contrepartie, mais c'est le lien le plus direct que j'ai trouvé vers une identité vérifiée.

D'autres plateformes ont été touchées avant le vol. 0x6872b663… (« Stake: Wallet 1 ») reçoit 118 732 $ en aval direct des anciens portefeuilles, et le dépôt KuCoin 0xbb2a25a0918290c501f793ed12425b3b0854295a reçoit 10 500 $ avant de prendre 8,1 M$ pendant le vol. Bitquery, citant TRM, y voit le compte groupé de Kyrrex.

Ce qui n'a rien donné : aucun nom ENS public sur 78 adresses, aucune activité des 15 premiers portefeuilles et de leurs relais sur sept autres réseaux, et un rythme de transactions sans pause franche, dont je ne déduis aucun fuseau horaire.

7. Les erreurs que j'ai faites en route#

Compter par symbole. Mes premiers totaux donnaient au moins 13,3 M$ de sorties avant le vol sur les anciens portefeuilles, et 74,5 M$ reçus par des comptes délégués à un contrat étiqueté « Poisoner ». Les vrais chiffres sont 2,47 M$ et 0 $. Le reste vient de 1 034 faux jetons qui usurpent USDC et USDT : c'est de l'empoisonnement d'adresses, automatique, sans aucun vrai fonds et sans nœud commun avec le vol. Depuis, je compte uniquement par adresse de contrat.

Croire un comportement sans témoin. Des XMR1 qui ne bougent pas, ça ressemble à de l'argent en attente. Il a fallu regarder 55 comptes sans rapport avec l'affaire pour voir que c'était le comportement normal du service.

Croire le compteur d'un indexeur. Deux adresses de ma liste de détentions étaient en réalité des portefeuilles de plateformes, « MEXC 16 » et « FixedFloat: Hot Wallet 2 », avec des millions de transactions. Je filtre maintenant sur le nonce réel.

Oublier un portefeuille. Je n'avais jamais parcouru 0x5cf7… jusqu'au bout. C'est en comparant ma liste aux dix plus grosses détentions de Bitquery que j'ai trouvé le trou : il manquait 0xdae878b7…, 2,23 M de DAI.

Ajouter trop vite. Un balayage automatique a fait remonter 0x08ec0883…, 3,84 M$ apparents. L'adresse est active depuis décembre 2025 et compte des milliers de transferts sans rapport. Un seul envoi de 100 000 USDT la relie au graphe. Je l'ai écartée, comme 0xfd76daab…, qui détenait déjà 9,4 M$ d'USDT avant le vol.

8. Les chiffres qui circulent, et le lien avec la banque#

129,6 M$ et 133 M$ sont proches, mais ça ne prouve rien : ce sont deux listes différentes. J'ai cherché les 25 M$ qui manquent aux « $106M+ » de ZachXBT par rapport à ses propres adresses, du côté de l'USDT, de l'ETH et d'autres plateformes, sans les trouver. Un double compte est possible, mais je ne peux pas le vérifier sans ses données.

Pour le lien avec la banque, il y a la désignation par ZachXBT (avec son « allegedly »), l'attaque confirmée, l'ordre de grandeur validé, la plainte et une chronologie qui colle. Contre, aucun document public ne relie ces portefeuilles à la banque, et le communiqué présente la conversion en cryptomonnaie comme une possibilité. J'y vois une forte probabilité, pas une preuve. Seules la banque et les plateformes peuvent fermer ce maillon.

9. Portée et limites#

• Je suis les flux à partir de 50 000 $ dans le graphe et de 20 000 $ dans les balayages, avec l'ETH à prix fixe. Le graphe s'arrête le 5 novembre vers 03:44 UTC.
• Ma liste compte 92 adresses de détention, contre 526 chez Bitquery. Elle peut en manquer.
• Environ 17,5 M$ de sorties ont une destination illisible (KuCoin, NEAR Intents, Well Wallet, Bridgers, reste de Multiswap), et 7,3 M$ du bilan vont vers des contrats sans nom.
• Le statut de portefeuille d'ordre repose sur une étiquette publique, un financeur commun et 55 comptes témoins, pas sur une preuve de détention des clés. La livraison du Monero n'est pas observable.
• Les étiquettes viennent d'Etherscan, d'Arbiscan et de TronScan, dont la méthode n'est pas documentée. Le plafond Tron est une borne haute, pas une attribution.
• Le Figaro n'est lu qu'à 15 %, Le Télégramme pas du tout, et je ne connais les propos de Kraken que par Cointelegraph.

10. Indicateurs#

La liste publique est dans iocs.csv, avec le rôle de chaque adresse. Ces adresses sont des points de départ pour un traçage, pas des preuves d'appartenance, et les lignes marquées « service » ne sont pas à bloquer. Les conseils pour une plateforme ou un service d'enquête sont dans remediation.md.

11. Reproduire l'analyse#

Le déroulé et les commandes sont dans runbook.md, les scripts dans tools/.

Sources : communiqué de 13 h, communiqué de 17 h 30, ZachXBT, Bitquery, Cointelegraph, CoinDesk, AFP via France 24, franceinfo, Le Figaro.