Le Crédit Mutuel Arkéa reconnaît avoir subi une attaque informatique ayant permis des opérations frauduleuses. Le montant évoqué, 118 millions d’euros, n’est pas confirmé par la banque. Au même moment, Binance publie le premier bilan de son propre braquage, 6,34 milliards de dollars, et déroule une chaîne d’attaque qui commence par un faux entretien d’embauche et se termine dans un wallet de signature.
Deux affaires sans lien établi, mais un même constat : quelques minutes suffisent à détourner des fonds, il faut des jours pour comprendre comment.
Une banque bretonne, un enquêteur on-chain et des virements en pause
Le Crédit Mutuel Arkéa a confirmé ce mercredi 4 novembre avoir été la cible d’une attaque informatique ayant permis “la réalisation d’opérations frauduleuses”. Le groupe, qui fédère le Crédit Mutuel de Bretagne et le Crédit Mutuel du Sud-Ouest, assure que l’incident est “aujourd’hui maîtrisé”.
Le chiffre, lui, ne vient pas de la banque. Selon Le Télégramme, l’équivalent de 133 millions de dollars, soit 118 millions d’euros, aurait été détourné. L’affaire a d’abord été mise sur la place publique par ZachXBT, enquêteur indépendant spécialisé dans le traçage de fonds sur les blockchains. Le journaliste spécialisé Grégory Raymond précise sur X que les fonds auraient été sortis de la banque par des hackers, puis dispersés vers de multiples comptes ouverts sur des plateformes d’échange crypto. Traduction : de l’argent bancaire bien réel, converti en actifs numériques pour mieux s’évaporer. Arkéa n’a ni confirmé ce montant, ni détaillé la méthode employée par les attaquants.
Côté réaction, la banque indique que ses équipes se sont mobilisées dès la détection et ont choisi, par précaution, de suspendre temporairement certaines transactions pour bloquer tout nouveau mouvement frauduleux. Résultat visible pour les clients : ce mercredi, certains virements étaient impossibles depuis les applications. La reprise doit intervenir une fois les dernières vérifications et mesures de sécurisation réalisées. Le message central du communiqué tient en une phrase : l’incident n’a « aucune conséquence financière » pour les clients.
Pour le reste, c’est le silence technique. Point d’entrée, vecteur, durée de l’intrusion : rien n’a filtré. Binance, de son côté, vient de publier un récit détaillé de sa propre attaque, quelques jours après les faits.
Binance, 6,34 milliards de dollars et quatre minutes pour vider des hot wallets
Le 29 octobre, la plateforme d’échange a subi ce qu’elle qualifie elle-même d’incident “grave et hautement sophistiqué”. Environ 6,34 milliards de dollars d’actifs numériques ont été touchés.
La séquence du jour J donne le vertige. L’attaquant exploite un accès non autorisé à un service interne de signature de wallets pour lancer des transactions hors du circuit normal de retrait.
Tout va très vite. Selon Binance, “entre 20h05 et 20h09 UTC, cinq hot wallets de Binance ont envoyé 233,46 millions de XRP vers une adresse contrôlée par l’attaquant”. Les hot wallets sont les portefeuilles connectés en permanence, qui servent aux opérations courantes de la plateforme. Le XRP n’est que la première cryptomonnaie touchée : d’autres jetons, comme le SOL et l’OP, puis 18 270 bitcoins prennent le même chemin. L’alerte interne ne se déclenche qu’après les premiers transferts.
Le plus instructif se joue côté Ethereum. L’attaquant y détourne un mécanisme baptisé EIP-7702, qui permet, explique Binance, de « déléguer certains droits d’exécution à un smart contract sans exposer la clé privée ». Il s’en sert pour confier à son propre contrat une partie du contrôle d’un portefeuille de la plateforme. Problème : ces autorisations malveillantes “existaient on-chain et fonctionnaient indépendamment de l’infrastructure de retrait habituelle de Binance”. Bloquer les retraits ne suffit donc pas. Et comme le portefeuille repose sur une technologie de signature partagée (MPC), “il n’existait aucune clé privée unique permettant de révoquer immédiatement” ces délégations. Les équipes doivent improviser une procédure sur mesure. Le dernier transfert frauduleux est finalisé à 23h56 UTC, la porte n’est refermée qu’à 0h10. Près de quatre heures entre la première fuite et la fermeture du robinet.
Faux recruteur, faux Homebrew et outil d’IA interne : anatomie d’une campagne au long cours
Binance le martèle : ni brèche isolée, ni simple phishing. En juin, un ingénieur Wallet DevOps télécharge une installation Homebrew piégée en cherchant un outil de codage IA. Le poste est remplacé, les identifiants renouvelés, mais son rôle et ceux de ses collègues sont désormais connus de l’attaquant. En septembre, un autre ingénieur, approché sur une plateforme d’emploi légitime, enchaîne deux faux entretiens d’une mise en scène inédite, jusqu’au partage de photos personnelles pour gagner sa confiance. À la clé, un “exercice” à télécharger sur son poste professionnel, qui remplace discrètement le binaire pyenv par une version malveillante. Un zero-day passé sous le radar des outils de protection.
Le 20 octobre, depuis ce poste compromis, l’attaquant s’appuie sur un outil d’IA interne pour prendre la main sur deux machines de l’équipe wallet, dont l’une abrite un jeton de déploiement de conteneurs. Le 29 octobre, il déploie son conteneur et lance le script. Le FBI attribue l’attaque à la Corée du Nord. Un adversaire que Binance connaît bien : la plateforme dit avoir déjoué 57 tentatives liées à Pyongyang depuis le début de l’année. Il en suffisait d’une.
Chez Arkéa, l’argent aurait été converti en cryptomonnaies pour mieux disparaître. Chez Binance, ce sont les cryptomonnaies elles-mêmes qui ont été dérobées. Mais la blockchain n’oublie rien. Les pirates peuvent y faire circuler les fonds, pas effacer leur passage. Reste à savoir ce que les traces laissées dans le dossier Arkéa permettront de reconstituer, la banque n’ayant pas encore détaillé l’origine de l’attaque.
