Début novembre, des attaquants ont détourné environ 100 millions d'euros d'un compte propre du Crédit Mutuel Arkéa, en passant par la plateforme d'un prestataire. En quelques heures, les fonds ont été convertis en cryptoactifs et dispersés. Ce n'est pas un piratage de blockchain, mais l'attaque montre qu'une fraude au virement peut désormais échapper à tout blocage avant même que la banque ne l'ait rendue publique.

Un filet de sécurité implicite

Juridiquement, un virement exécuté a toujours été irrévocable. En pratique, une fraude au virement laissait souvent une marge de manœuvre dès lors que les fonds détournés atterrissaient sur un compte identifié dans un établissement régulé. Tant qu'ils y restaient, la banque réceptrice pouvait les bloquer, un juge pouvait les saisir.

Ce filet n'a jamais été infaillible: en 2016, 81 millions de dollars dérobés à la Banque centrale du Bangladesh avaient fini dans des casinos aux Philippines. Mais blanchir de telles sommes par la seule voie bancaire exigeait des réseaux de comptes relais et de complicités.

Avec la crypto, c'est différent

Chez Arkéa, dès le dimanche de la Toussaint, les attaquants ont dirigé les fonds vers des plateformes d'échange crypto, puis les ont convertis et retirés vers leurs propres portefeuilles. Malgré des blocages par Kraken et Crypto.com, l'essentiel avait déjà quitté les plateformes en moins de 24 heures.

Cette précipitation a une raison simple: une plateforme crypto régulée peut bloquer un compte et, même hors plateforme, l'émetteur d'un stablecoin peut neutraliser ses jetons. Au contraire, un cryptoactif sans émetteur centralisé comme le Bitcoin n'obéit qu'à celui qui contrôle les clés privées. Ces fonds restent visibles et pourront être saisis s'ils repassent par une plateforme régulée, mais personne ne peut les bloquer sur simple demande.

Le point de non-retour n'était donc pas le virement, mais la sortie du dernier intermédiaire capable de geler, et il a été franchi en quelques heures.

Le silence a un coût

Dans ce schéma, la récupération dépend des plateformes d'échange et des émetteurs de stablecoins, qui ne peuvent geler que ce qu'on leur signale. Arkéa les a peut-être prévenus à temps: la banque affirme avoir réagi dès la détection et a pu bloquer une partie des fonds. Mais elle n'a publié ni l'heure de détection, ni la chronologie de ses mesures.

Le contraste avec Binance est frappant. Piratée de 6,3 milliards de dollars le 29 octobre, trois jours avant Arkéa, la plateforme a annoncé dès la nuit suivante le montant du préjudice, ses premières opérations de gel et la couverture de toutes les pertes. Au 3 novembre, 2,85 milliards de dollars avaient été gelés ou interceptés.

Arkéa, elle, est restée muette pendant trois jours, puis a communiqué sans montant. Cette prudence se comprend, mais sur une blockchain publique, les mouvements sont observables par tous: une communication rapide aurait pu mobiliser davantage d'acteurs, en complément des alertes confidentielles.

Le temps a changé de camp

Ce que la crypto change, c'est le délai. Hier, une fraude au virement laissait le plus souvent le temps de réagir, et les dispositifs antifraudes ont été conçus pour ce rythme. Aujourd'hui, un attaquant peut sortir du réseau des intermédiaires en quelques heures, de jour comme de nuit. Binance a montré qu'on pouvait lui disputer cette course: en mobilisant tout le secteur dès la nuit du vol, la plateforme a fait geler près de la moitié des fonds dérobés. La question n'est plus de savoir si un virement peut être rappelé, mais si l'alerte atteindra, avant l'attaquant, le dernier intermédiaire capable de geler les fonds.