Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 une cyberattaque ayant permis « la réalisation d’opérations frauduleuses » sur ses propres comptes. L’alerte n’est pas venue de la banque mais d’un enquêteur indépendant qui a tracé plus de 133 millions de dollars, soit environ 122 millions d’euros, sur les registres publics de cryptomonnaies. Le groupe, lui, n’a communiqué aucun montant.
Un enquêteur en cryptomonnaies repère la fuite avant la banque
Le 2 novembre 2026, l’enquêteur indépendant ZachXBT, spécialiste du traçage de fonds sur les registres publics de cryptomonnaies, signale qu’« une entité européenne est soupçonnée d’avoir perdu plus de 106 millions de dollars depuis plusieurs comptes d’échanges centralisés hier (1er novembre) », les fonds suspects ayant été retirés en USDC et USDT par « un acteur illicite ». Le 3 novembre, il identifie plus de 27 millions de dollars de retraits supplémentaires et porte le total à plus de 133 millions de dollars. La banque confirme l’attaque le 4 novembre, soit trois jours après les premiers mouvements.
Le compte d’un prestataire comme porte d’entrée, selon la banque
Crédit Mutuel Arkéa réunit le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest, l’assureur Suravenir et la banque en ligne Fortuneo ; il est distinct de Crédit Mutuel Alliance Fédérale. Selon la déclaration du groupe rapportée par Next, les auteurs se sont appuyés sur un compte sur la plateforme d’un prestataire pour atteindre la banque, puis ont « utilisé un compte de Crédit Mutuel Arkéa pour effectuer des transactions vers d’autres entités bancaires, ce qui leur a potentiellement permis de convertir l’argent en crypto sur des plateformes spécialisées ». Le groupe a démenti que Fortuneo ait servi de point d’entrée et affirme que seuls des comptes internes ont été touchés. Le nom du prestataire compromis n’a pas été publié, ni le périmètre des systèmes affectés.
Vingt et une heures pour sortir 108,8 millions de dollars
L’analyse de la société Bitquery, relayée par IT-Connect, décrit 108,8 millions de dollars d’USDC retirés en vingt et une heures, dont 95 % depuis la plateforme Kraken, le reste depuis Crypto.com et OKX. Environ 62,98 millions de dollars auraient ensuite été convertis en 27 553 ETH via le service d’échange UniswapX en à peu près quatre heures, une partie étant basculée vers le Monero, une monnaie conçue pour rendre les transactions difficiles à suivre. Au 3 novembre, environ 61 millions de dollars se trouvaient encore sur la chaîne Ethereum. ZachXBT a indiqué que les attaquants ne sont pas liés au groupe nord-coréen Lazarus.
1,14 million de dollars gelés sur plus de 133 millions tracés
La réaction des plateformes montre les limites du gel d’actifs. Kraken et Crypto.com ont déclaré avoir restreint des comptes ou bloqué des fonds liés à l’incident, et n’avoir subi aucune intrusion dans leurs propres systèmes. L’émetteur de stablecoins Tether n’a pour sa part gelé que 1,14 million de dollars d’USDT, selon les mêmes travaux de Bitquery : moins de 1 % des sommes tracées par ZachXBT. Le reste a circulé avant toute mesure de blocage.
« Clos et aujourd’hui maîtrisé », mais aucun chiffre officiel
La banque qualifie l’incident de « clos et aujourd’hui maîtrisé » et déclare qu’il ne s’agit « pas d’une erreur humaine, mais d’une attaque externe sophistiquée ». Elle assure qu’il n’y a « aucune conséquence sur les avoirs des clients », le seul effet visible pour la clientèle étant le report d’exécution de certains virements après la suspension temporaire de certaines opérations, la reprise ayant commencé progressivement le matin du 4 novembre. Le groupe ajoute que les montants en jeu ne sont « absolument pas de nature à remettre en cause la santé et la solidité financière de Crédit Mutuel Arkéa ». Les autorités et organes de supervision ont été informés. Le préjudice, lui, reste en cours d’évaluation : le chiffre de 133 millions de dollars demeure une estimation de ZachXBT, et Le Monde informatique retient de son côté 118 millions d’euros.
| Elément | Montant ou indication | Source |
|---|---|---|
| Premiers retraits repérés le 1er novembre | Plus de 106 millions de dollars | ZachXBT, 2 novembre 2026 |
| Total tracé après réévaluation | Plus de 133 millions de dollars (environ 122 millions d’euros) | ZachXBT, 3 novembre 2026 |
| USDC sortis en vingt et une heures | 108,8 millions de dollars, dont 95 % via Kraken | Bitquery, relayé par IT-Connect |
| Converti en ETH via UniswapX | 62,98 millions de dollars, soit 27 553 ETH | Bitquery, relayé par IT-Connect |
| USDT gelés par Tether | 1,14 million de dollars | Bitquery, relayé par IT-Connect |
| Montant reconnu par la banque | Aucun, préjudice en cours d’évaluation | Crédit Mutuel Arkéa, 4 novembre 2026 |
