Cyberattaque de Crédit Mutuel Arkéa et vol de crypto allégué de 133 M$

Crédit Mutuel Arkéa, un groupe bancaire français, a confirmé une cyberattaque après que l'enquêteur on-chain ZachXBT a lié la banque à un vol de crypto allégué de 133 millions de dollars. Pour les équipes financières, le message pratique est que l'événement confirmé est une cyberattaque, tandis que le lien avec le vol de crypto et le montant sont, à ce stade, des allégations d'un enquêteur. Votre réponse doit être de tester votre propre exposition et vos propres registres, et non d'attendre que chaque détail soit réglé. Un logiciel de comptabilité crypto robuste rend ce test plus rapide, car il relie chaque portefeuille, dépositaire et contrepartie à un grand livre que vous pouvez interroger en quelques minutes.

Ce qui a été confirmé et ce qui ne l'a pas été

Les faits disponibles à ce jour sont limités. Crédit Mutuel Arkéa a reconnu une cyberattaque. ZachXBT, un enquêteur connu pour tracer les cryptos volées on-chain, a désigné la banque comme la victime alléguée d'un vol de crypto de 133 millions de dollars. Le média rapporte que la confirmation de la banque concerne la cyberattaque et que le chiffre de 133 millions de dollars est lié à l'attribution de ZachXBT.

Cette distinction est importante pour quiconque écrit sur l'événement, constitue des provisions ou conseille à ce sujet. Une cyberattaque confirmée ne signifie pas automatiquement une perte confirmée d'un montant spécifique, et une attribution on-chain n'est pas équivalente à une conclusion réglementaire ou à une déclaration de perte de l'institution. Tant que la banque, un régulateur ou les forces de l'ordre ne publient pas davantage d'informations, considérez le montant comme non vérifié.

Pourquoi la source de chaque affirmation compte

Les auditeurs et les responsables financiers sont formés à demander d'où vient un chiffre. Ici, il y a deux niveaux : une déclaration institutionnelle qu'une attaque a eu lieu, et l'attribution par un enquêteur tiers d'un vol à cette institution. Les notes de service, les documents du conseil et les notes aux clients doivent garder ces niveaux séparés, qualifier les 133 millions de dollars d'allégués et enregistrer la date à laquelle vous avez capturé l'information. Si la situation change, vous disposez alors d'une piste d'audit claire montrant ce que vous saviez et quand.

Ce que nous ne savons pas encore

Les informations disponibles ne nous disent pas quels actifs ont été pris, si les fonds appartenaient à la banque ou à ses clients, comment les attaquants sont entrés, ni si des fonds ont été gelés ou récupérés. Cet article ne spécule pas sur ces points. Ce sont les questions à surveiller dans les communications ultérieures de la banque et les éventuelles notices réglementaires.

Pourquoi un vol de crypto côté banque change le paysage des risques

Une grande partie des discussions récentes sur les actifs numériques volés s'est concentrée sur les plateformes d'échange et les ponts. Le fait qu'une banque européenne soit désignée comme victime alléguée attire l'attention sur un autre type de contrepartie : une institution réglementée qui fait partie du système financier traditionnel mais qui peut toucher aux actifs numériques d'une manière ou d'une autre. Si votre organisation est en relation bancaire avec, règle ses opérations via, ou détient des actifs auprès d'institutions ayant une activité crypto, la frontière entre risque traditionnel et risque numérique est plus fine qu'auparavant.

Concentration et exposition aux contreparties

Chaque fonction de trésorerie devrait pouvoir répondre à une question simple : si cette institution subissait demain un incident cyber majeur, que perdrions-nous, qu'est-ce qui serait retardé et qu'aurions-nous à divulguer ? Cela inclut les soldes de trésorerie, les accords de garde, les garanties déposées et tout actif numérique détenu dans des structures omnibus ou ségréguées. Une concentration sur un nom unique qui semblait acceptable le trimestre dernier mérite peut-être un second examen.

Séparation des actifs clients et des actifs propres

Pour les entreprises qui détiennent des actifs pour le compte de tiers, la question comptable et juridique clé après tout vol est de savoir quels actifs ont été affectés. Des registres qui séparent clairement les avoirs propres des avoirs clients facilitent grandement l'évaluation de l'impact, la notification des bonnes parties et le soutien de toute demande d'indemnisation ou de récupération. Des registres qui les mélangent rendent chacune de ces étapes plus lente et plus contestée.