Le Crédit Mutuel Arkéa a confirmé, mercredi 4 novembre 2026, avoir été victime d’une cyberattaque ayant permis la réalisation d’opérations frauduleuses. Selon les traçages blockchain de l’enquêteur ZachXBT, le préjudice pourrait dépasser 133 millions de dollars, en partie convertis en cryptomonnaies. La banque, qui ne confirme aucun montant, juge l’incident maîtrisé.
🔑 En bref
- Le Crédit Mutuel Arkéa reconnaît une cyberattaque ayant permis des opérations frauduleuses, sans chiffrer officiellement le préjudice.
- L’enquêteur ZachXBT évoque un total identifié de plus de 133 millions de dollars, soit environ 118 millions d’euros.
- Environ 62,98 millions de dollars de stablecoins auraient été convertis en Ether via UniswapX en quatre heures.
- Kraken et Crypto.com ont restreint des comptes ou fonds liés, et assurent que leur propre sécurité n’a pas été compromise.
Une attaque confirmée, un montant toujours non officiel
Le groupe mutualiste, basé en Bretagne et regroupant le Crédit Mutuel de Bretagne et du Sud-Ouest, a reconnu l’incident dans un communiqué. La banque évoque des opérations frauduleuses désormais « maîtrisées », sans préciser ni la méthode d’intrusion ni le périmètre exact touché. Les dates rapportées par les médias divergent : L’AGEFI situe l’incident au 1er novembre, tandis que Les Échos décrit une intrusion dans les systèmes informatiques qui se serait déroulée sur plusieurs jours. Les sources disponibles ne précisent pas le périmètre temporel exact.
Dès la détection de l’attaque, Arkéa a mobilisé ses équipes, alerté les autorités compétentes ainsi que les organismes de supervision, puis suspendu temporairement certaines transactions. La banque a ensuite annoncé un renforcement de ses mesures de sécurité et une reprise progressive de certaines opérations dans la matinée du 4 novembre. Dans son communiqué, elle explique :
« Dès la détection de cette attaque, nos équipes se sont immédiatement mobilisées et ont pris, par mesure de précaution, la décision de suspendre temporairement certaines transactions afin de sécuriser les opérations et de prévenir tout nouveau mouvement frauduleux. »
Crédit Mutuel Arkéa, communiqué du 4 novembre 2026
Les sources ne concordent pas exactement sur l’état des services au moment de leurs publications. Cryptoast indiquait que les opérations avaient commencé à reprendre progressivement, tandis que Le Monde signalait encore l’inaccessibilité de certains services bancaires, dont des virements. Certains transferts ont en tout état de cause été retardés.
La banque affirme que l’incident n’a eu « aucune conséquence financière » pour ses clients, et Cryptoast indique que leurs avoirs n’ont pas été affectés. Arkéa précise poursuivre ses investigations afin d’évaluer précisément les pertes, dont le montant n’est toujours pas confirmé. Elle estime que ces pertes ne remettent pas en cause sa solidité financière. Aucune provision, aucun bilan détaillé et aucune répartition définitive des responsabilités n’ont été publiés à ce stade.
Traçage blockchain : une estimation qui dépasse 133 millions de dollars
Le lundi 2 novembre, ZachXBT a annoncé sur son groupe Telegram qu’une entité de l’Union européenne était soupçonnée d’avoir perdu 106 millions de dollars. Le lendemain, il a identifié des retraits supplémentaires de plus de 27 millions de dollars. Dans la nuit du mardi au mercredi, il a communiqué l’identité de la banque française. Le total ainsi obtenu dépasse donc 133 millions de dollars, soit environ 118 millions d’euros au taux indiqué par les médias. Le tableau ci-dessous synthétise les chiffres disponibles.
| Étape | Montant | Source |
|---|---|---|
| Premier signalement (2 novembre) | 106 M$ | ZachXBT, Telegram |
| Retraits supplémentaires (3 novembre) | plus de 27 M$ | ZachXBT |
| Total identifié | plus de 133 M$ (≈ 118 M€) | Estimation des médias |
| Stablecoins échangés en quatre heures | 62,98 M$ | Bitquery |
| Ether obtenu en contrepartie | 27 553 ETH | Bitquery |
Selon Les Échos, qui cite The Block, ZachXBT a identifié le Crédit Mutuel Arkéa comme victime présumée. Le quotidien indique également, sur la base d’une source non nommée, que le préjudice pourrait dépasser 100 millions de dollars. De son côté, L’AGEFI fait état d’une première évaluation de plusieurs dizaines de millions d’euros, sans que cette évaluation soit clairement attribuée dans le texte consulté. Ces chiffres demeurent une estimation issue d’enquêtes sur la blockchain, et non une perte officiellement reconnue par la banque.
ZachXBT estime que les pertes réelles pourraient être supérieures aux 133 millions de dollars identifiés, notamment à cause de transactions de gré à gré, ou OTC, qui n’apparaîtraient pas dans le traçage initial. Grégory Raymond fait également état, sur la base de sources anonymes, d’autres circuits de détournement ne passant pas par les cryptomonnaies. L’ensemble des fonds et leur localisation actuelle ne sont pas établis par les sources disponibles.
Un mécanisme suspecté : des virements au nom des bénéficiaires
D’après les informations du journaliste Grégory Raymond, les fraudeurs auraient réussi à émettre des virements depuis Fortuneo, la banque en ligne du groupe, en choisissant eux-mêmes le nom du bénéficiaire. Les fonds auraient ensuite été transférés vers des comptes de plateformes d’échange crypto ouverts sous de fausses identités, suffisamment crédibles pour passer les procédures de vérification. Les virements auraient été effectués au nom exact des titulaires afin de contourner les contrôles de concordance des identités. Il ne s’agirait donc pas de comptes de clients de Fortuneo piratés, mais de comptes créés directement par les fraudeurs.
« L’équivalent de 133 millions de dollars aurait été sorti de la banque par des hackers, puis acheminé vers de multiples comptes ouverts sur des plateformes d’échange crypto. »
Grégory Raymond, journaliste
Les sources ne précisent pas si Fortuneo avait appliqué ce type de contrôle, ni si le mécanisme a été exploité techniquement ou humainement. Le point de départ de la fraude reste inconnu. Une source interrogée par le journaliste évoque deux hypothèses, toutes deux non établies :
- un piratage des systèmes de paiement de Fortuneo ;
- une manipulation humaine comparable à l’arnaque au président, dans laquelle l’identité d’un dirigeant est usurpée pour convaincre un salarié d’effectuer des virements frauduleux.
Conversion en cryptomonnaies et réactions des plateformes
Selon la société d’analyse blockchain Bitquery, 62,98 millions de dollars de stablecoins auraient été échangés contre 27 553 ETH en quatre heures, via UniswapX, le service d’échange décentralisé d’Uniswap. Les fonds auraient ensuite été dispersés entre plusieurs réseaux blockchain et des services d’échange instantané, notamment WellWallet et Kyrrex. Une partie aurait été convertie en Monero, cryptomonnaie conçue pour masquer les transactions, ce qui complique nettement le suivi et une éventuelle récupération.
Plusieurs plateformes ont réagi à l’identification de fonds liés à l’incident. Kraken a restreint des comptes qu’elle estimait liés aux opérations, et Crypto.com a bloqué des fonds associés. Les deux entreprises assurent que leur propre sécurité n’a pas été compromise. Les sources ne documentent aucune variation de cours d’un actif financier ou cryptographique directement liée à l’annonce : les seules réactions de marché identifiées sont opérationnelles.
ZachXBT s’est dit « hautement confiant » sur le fait que les responsables ne sont pas liés au groupe nord-coréen Lazarus. Il reproche par ailleurs à la banque d’avoir tardé à signaler l’intrusion, estimant que plus de 30 millions de dollars auraient pu être gelés si une alerte rapide avait été adressée aux autorités européennes. Cette appréciation n’a pas été reprise ni contestée par Arkéa dans les éléments publiés. Enfin, la banque a appelé ses clients à la vigilance face à d’éventuelles tentatives de phishing exploitant l’attaque.
Perspectives : une affaire qui interroge les contrôles d’identité
Au-delà du montant, l’affaire pose une question centrale : la fiabilité des contrôles de concordance des virements et des procédures d’ouverture de comptes chez les plateformes d’échange. Lorsqu’une intrusion et des comptes crypto ouverts sous de fausses identités se combinent, la chaîne de vérification devient le maillon critique, bien plus que la seule cybersécurité technique.
Plusieurs scénarios restent ouverts à ce stade. Dans un scénario central, le préjudice se confirmerait entre 100 et 133 millions de dollars, avec des provisions à mentionner dans les comptes. Dans un scénario plus favorable, le gel de fonds par les plateformes et les autorités réduirait le préjudice net. Dans un scénario défavorable, des pertes OTC supplémentaires porteraient le total au-delà de 133 millions de dollars, relançant le débat sur les délais de signalement. Les prochaines communications de la banque et des autorités de supervision seront déterminantes.
Pour l’heure, le montant définitif, les responsabilités et le sort des fonds restent inconnus. Les investisseurs et les acteurs de la conformité auront intérêt à suivre les confirmations officielles plutôt que les estimations issues du seul traçage on-chain.
Conclusion
L’attaque visant Arkéa illustre la convergence entre cybercriminalité bancaire et circuits de conversion en cryptomonnaies. Tant que la banque ne publie pas de chiffres validés, le total de 133 millions de dollars reste une estimation, mais il constitue le point de référence de toute analyse sérieuse du dossier.
Sources
- Cryptoast : Crédit Mutuel Arkéa, hack crypto et 133 millions ZachXBT
- Crédit Mutuel, site officiel
- L’AGEFI : Crédit Mutuel Arkéa avoue être victime d’une cyberattaque
- RTL : 118 millions d’euros détournés
- Les Échos : Crédit Mutuel Arkéa victime d’un piratage à plus de 100 millions de dollars
- Le Monde : Le Crédit Mutuel Arkéa confirme avoir été victime d’une cyberattaque
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
