Secu
Une cyberattaque vide des comptes du Crédit Mutuel Arkéa (màj)
Par Guillaume Perissat, publié le 06 novembre 2026
La banque bretonne Crédit Mutuel Arkéa est victime d’une cyberattaque qui, selon l’enquêteur ZachXBT, aurait abouti au détournement de quelque 133 millions de dollars, convertis en cryptoactifs par les attaquants. Le groupe mutualiste précise toutefois que ce braquage numérique n’a aucune conséquence financière pour ses clients.
Article mis à jour le 06/11/2026 à 10h30 (cf encadré à la fin)
Article mis à jour le 04/11/2026 à 13h30 (cf encadré à la fin)
Article d’origine le 04/11/2026 à 12h.
L’information nous vient de ZachXBT, un spécialiste du traçage de cryptomonnaies. Sur son compte Telegram, celui-ci écrit le 2 novembre avoir remarqué des mouvements suspects. « Une entité basée dans l’UE aurait perdu plus de 106 millions de dollars, hier (1er novembre), depuis plusieurs comptes détenus sur des plateformes d’échange centralisées ».
« Les fonds, vraisemblablement dérobés, ont été retirés sous forme d’USDC et d’USDT par un acteur malveillant », ajoute-t-il. Le lendemain, l’enquêteur évalue le montant dérobé à 133 millions de dollars. Il avance qu’une « grande institution financière d’Europe occidentale a été attaquée, et l’affaire est actuellement étouffée ».
133 millions de dollars dans la nature
Puis ce matin, peu avant 4 h, ZachXBT révèle que l’institution concernée n’est autre que Crédit Mutuel Arkéa, banque française, et que l’attaque s’est étalée sur plusieurs jours. Il soupçonne en outre que la somme dérobée est plus élevée que ses estimations initiales.
Dans la foulée, le groupe bancaire sis dans le Finistère a confirmé par voie de communiqué avoir été « victime d’une attaque ayant permis la réalisation d’opérations frauduleuses ». Crédit Mutuel Arkéa précise que « cet incident est aujourd’hui maîtrisé ».
L’entreprise se veut par ailleurs rassurante et signale que l’incident n’a aucune conséquence financière pour ses clients. Si certaines opérations depuis l’application ne sont plus possibles ce mercredi matin, c’est en raison des mesures préventives prises par la banque.
Transactions suspendues
« Dès la détection de cette attaque, nos équipes se sont immédiatement mobilisées et ont pris, par mesure de précaution, la décision de suspendre temporairement certaines transactions afin de sécuriser les opérations et de prévenir tout nouveau mouvement frauduleux », déclare la banque. « La reprise de ces opérations interviendra rapidement, dans des conditions de sécurité optimales, dès lors que les dernières vérifications et mesures de sécurisation auront été réalisées ».
Pour l’heure, le groupe n’a fourni aucun détail sur la nature de l’attaque. Laquelle intervient quelques jours après celle visant Binance. Au cours de celle-ci, quelque 6 milliards de dollars de cryptoactifs se sont envolés et la course au gel des avoirs se poursuit. Concernant Arkéa, ZachXBT affirme « avec un haut degré de certitude » qu’il ne s’agit pas du groupe nord-coréen Lazarus.
[MaJ du 04-11-2026, 13H30]
Fortunéo en porte d’entrée ?
Faute de communication officielle, c’est du côté de la presse spécialisée que des premières pièces du puzzle émergent. Selon Grégory Raymond, cofondateur du média The Big Whale, la fraude aurait démarré par une attaque visant Fortuneo, la banque en ligne du groupe. Aucun portefeuille de cryptoactifs de la banque n’aurait été vidé. « Ce n’est pas de la crypto qui a été volée directement à la banque », résume une source proche du dossier. C’est de la monnaie classique qui aurait été sortie du système bancaire, par une série de virements transfrontaliers émis avec des informations de bénéficiaires falsifiées.
Mais comment les cyber-attaquants sont ils entrés. Personne ne le sait encore. Certains envisagent soit une intrusion dans l’infrastructure de paiement de la banque, soit une manipulation de collaborateurs par des escrocs se faisant passer pour des dirigeants, dans une variante élaborée de la bonne vieille « fraude au président ».
Dans les deux cas, l’opération a très probablement dû reposer sur de nombreux comptes « mules » chargés de recevoir les fonds puis de les faire circuler, ce qui suggère une attaque synchronisée par un groupe bien organisé.
Le chemin de l’argent se lit désormais en partie sur la blockchain. Les virements auraient atterri sur des comptes ouverts sous de fausses identités sur des plateformes d’échange centralisées, notamment Kraken. Ces comptes ont passé sans encombre les contrôles d’identité KYC, ce qui est à la fois inquiétant et nécessite une enquête aussi à ce niveau. Une fois crédités, les fonds auraient été convertis en stablecoins, puis retirés. La société d’analyse Bitquery chiffre ainsi à 108,8 millions de dollars les USDC sortis de comptes chez Kraken, Crypto.com et OKX en une vingtaine d’heures, les 1er et 2 novembre, vers quinze portefeuilles distincts. Détail révélateur : onze d’entre eux avaient déjà reçu des fonds de ces mêmes plateformes, parfois des mois plus tôt. Ce qui forcément, laisse penser que le terrain avait été préparé bien en amont…
Commence alors un blanchiment des plus classiques. Bitquery a observé la conversion de 62,98 millions de dollars de stablecoins en 27 553 ethers en à peine quatre heures, via UniswapX, le protocole d’échange décentralisé d’Uniswap. Il n’y avait donc aucun intermédiaire capable de geler les avoirs. Selon ZachXBT, les fonds ont ensuite été éparpillés sur de multiples adresses, déplacés d’une blockchain à l’autre par des passerelles inter-chaînes (« bridges »), confiés à des services d’échange instantané comme WellWallet et Kyrrex, puis convertis en Monero via Wagyu. Or le Monero est précisément conçu pour masquer l’expéditeur, le destinataire et le montant des transactions. Autant dire que c’est là que la piste s’efface.
Les plateformes ont fini par réagir. Kraken affirme avoir restreint les comptes liés à l’incident dès la nuit de lundi à mardi poussant les attaquants à se replier sur d’autres plateformes. Crypto.com dit avoir bloqué les fonds associés, et OKX examine encore les faits. Les deux premières assurent que leur propre sécurité n’a pas été compromise. Mais il serait déjà trop tard pour bloquer l’essentiel du butin.
Reste désormais au groupe bancaire Crédit Mutuel Arkéa à expliquer comment des virements d’une telle ampleur ont pu s’enchaîner pendant aux moins deux jours sans lever d’alertes. Et une attaque qui a forcément du mettre en émoi et en mode surveillance accrue tous RSSI du secteur bancaire…
[MaJ du 06-11-2026, 10H30]
Un prestataire externe comme point d’entrée
Victime d’une cyberattaque, le groupe Crédit Mutuel Arkéa a finalement expliqué, dans un nouveau communiqué, la manière dont les attaquants ont procédé. On apprend ainsi que « les attaquants ont utilisé le compte propre de Crédit Mutuel Arkéa pour réaliser des transactions vers d’autres acteurs bancaires, qui leur ont ensuite potentiellement permis de convertir cet argent en crypto monnaie via des plateformes spécialisées ».
Comment les attaquants ont-ils réussi ce tour de passe-passe ? La banque précise que « aucune « entrée » ne s’est faite par Fortuneo ». C’est par le truchement de la « plateforme d’un de nos prestataires » que les hackers ont pu « atteindre directement » le Crédit Mutuel Arkéa. Si le groupe financier ajoute qu’il s’agit d’une « attaque sophistiquée » qui n’a pas pour point de départ une erreur humaine, il ne livre pas plus de détails sur le sujet.
À LIRE AUSSI :
À LIRE AUSSI :
