Crédit Mutuel Arkéa piraté : 118 millions d’euros partis en cryptomonnaies, ce que l’on sait

Une grande banque française vient de se faire pirater, et pas pour quelques milliers d’euros. Le Crédit Mutuel Arkéa, le groupe qui réunit notamment le Crédit Mutuel de Bretagne et la banque en ligne Fortuneo, a confirmé ce mercredi 4 novembre 2026 avoir été victime d’une attaque informatique. Selon l’enquêteur ZachXBT, plus de 133 millions de dollars, soit environ 118 millions d’euros, ont été détournés puis transformés en cryptomonnaies. Je vous résume ce que l’on sait, ce que l’on ne sait pas encore, et ce que ça change pour vous si vous êtes client.

Ce qui s’est passé

Tout commence le 1er novembre. Ce jour‑là, à 12 h 25 (heure UTC), de premiers retraits partent vers la plateforme crypto OKX, puis vers Kraken 44 minutes plus tard. En 21 heures, 108,8 millions de dollars sont retirés en USDC depuis des comptes ouverts chez Kraken, Crypto.com et OKX, vers 15 portefeuilles. Kraken représente à lui seul environ 95 % du total, en 178 retraits. Le 3 novembre, 27 millions de dollars de retraits supplémentaires sont encore relevés.

C’est ZachXBT, un enquêteur indépendant connu pour suivre l’argent volé sur les blockchains, qui a donné l’alerte. Le 2 novembre, il parlait d’une « entité européenne » ayant perdu plus de 106 millions de dollars. Dans la nuit du 3 au 4 novembre, il a nommé publiquement Arkéa. La banque a ensuite confirmé dans un communiqué « la réalisation d’opérations frauduleuses », sans donner de montant ni de détail.

Comment l’argent a disparu

La banque n’a pas expliqué comment les pirates ont procédé. Selon le journaliste Grégory Raymond, c’est Fortuneo qui aurait été directement visée : les fraudeurs auraient fait des virements en saisissant eux‑mêmes un nom de bénéficiaire identique à celui du titulaire du compte destinataire, ce qui permet de passer les contrôles de concordance des noms. Deux pistes sont évoquées par sa source : une compromission des systèmes de paiement, ou une intervention humaine obtenue par une technique proche de l’arnaque au président. La seconde serait privilégiée, mais rien n’est confirmé à ce stade.

Une fois arrivé sur les plateformes crypto, l’argent a été converti en stablecoins (USDC et USDT), ces jetons censés valoir un dollar. Environ 63 millions de dollars ont ensuite été échangés contre 27 553 ethers sur UniswapX, et une partie a fini en Monero, une cryptomonnaie conçue pour rendre les transactions très difficiles à suivre. ZachXBT écarte « avec un haut degré de confiance » la piste nord‑coréenne, pourtant évoquée après le vol de 6,3 milliards de dollars subi par Binance le 29 octobre.

Une partie a été gelée, une autre est déjà loin

Tether a gelé environ 1,14 million de dollars en USDT, et Circle pouvait encore bloquer 3,7 millions d’USDC le 2 novembre. Kraken et Crypto.com indiquent avoir bloqué des comptes ou des fonds liés au vol, en précisant qu’ils n’ont pas été piratés eux‑mêmes. Mais ZachXBT reproche à la banque d’avoir tardé à signaler l’affaire : selon lui, plus de 30 millions de dollars auraient pu être gelés avec une alerte plus rapide. Il estime aussi que le montant réel pourrait être plus élevé, car une partie des fonds a pu passer hors blockchain, où on ne peut pas la suivre.

Et pour les clients ?

Le Crédit Mutuel Arkéa affirme que l’incident est maîtrisé, qu’il n’a aucune conséquence financière pour ses clients et que leurs avoirs ne sont pas concernés. À ce stade, rien ne permet de dire que des comptes courants ou des livrets de particuliers ont été vidés. Par précaution, la banque a suspendu temporairement certaines opérations, notamment des virements dans ses applications, le temps de faire ses vérifications ; elles reprennent progressivement. La Banque de France a été prévenue.

Pour vous donner l’échelle : le groupe comptait 5,64 millions de clients fin 2025, pour un bilan de 211,6 milliards d’euros et 450 millions d’euros de bénéfice net. Une perte de 118 millions d’euros fait mal, mais elle reste absorbable pour une banque de cette taille.

Ce que je ferais si j’étais client

Le vrai risque pour vous, maintenant, ce n’est pas votre compte : c’est le phishing. Chaque affaire médiatisée est suivie d’une vague de faux SMS, faux mails et faux appels qui se servent de l’actualité pour vous faire peur. La banque elle‑même met en garde ses clients. Quelques réflexes simples :

• Votre banque ne vous demandera jamais vos codes, ni de valider une opération que vous n’avez pas lancée, ni de « sécuriser » votre argent en le déplaçant.
• Si on vous appelle au sujet du piratage, raccrochez et rappelez vous‑même le numéro officiel de votre agence ou de Fortuneo.
• Ne cliquez sur aucun lien reçu par SMS ou par mail : passez par l’application ou le site officiel que vous tapez vous‑même.
• Jetez un œil à vos derniers mouvements, et signalez tout de suite à la banque ce que vous ne reconnaissez pas.

Ce que cette affaire nous apprend

Trois choses me frappent. D’abord, la rapidité : une fois l’argent parti vers les plateformes crypto, chaque heure compte, et le temps mis à donner l’alerte peut coûter des dizaines de millions. Le règlement européen DORA impose d’ailleurs aux banques de signaler un incident informatique majeur dans les 24 heures. Ensuite, la blockchain est à double tranchant : elle a permis de blanchir vite, mais aussi de suivre l’argent en public, et c’est grâce à ce traçage que l’affaire a été révélée. Enfin, aucun établissement n’est à l’abri, même une grande banque régulée. C’est une bonne raison de ne jamais mettre tous ses œufs dans le même panier, et de garder un œil sur les plateformes où l’on a de l’argent.

C’est exactement pour ça que j’ai mis en place la veille UPMP : chaque jour, elle surveille les plateformes et signale ce qui mérite votre attention. Vous pouvez aussi vérifier une plateforme avant d’y mettre de l’argent sur unpeumoinspauvre.com/verifier.

L’enquête ne fait que commencer et plusieurs questions restent ouvertes : comment les virements ont été déclenchés, quel est le montant réel, et pourquoi l’opération a pu durer plusieurs jours. Je mettrai cet article à jour si de nouvelles informations sont confirmées.

Ce n’est pas un conseil en investissement. Cet article s’appuie sur les informations publiées le 4 novembre 2026 : le communiqué du Crédit Mutuel Arkéa, les enquêtes de ZachXBT et les articles du Journal du Geek, de KultureGeek et de Yahoo Finance (AFP).

UPMP