En bref :
- Le Crédit Mutuel Arkéa confirme une cyberattaque ayant permis des opérations frauduleuses, mais n’a pas communiqué le montant définitif des pertes.
- L’enquêteur ZachXBT estime que les sommes suspectes dépasseraient 133 millions de dollars, après avoir repéré des retraits en stablecoins.
- Les fonds auraient été convertis en cryptomonnaies puis dispersés entre plusieurs plateformes et réseaux, avec une partie potentiellement transformée en Monero.
- Le groupe assure que les clients ne subiront aucune perte financière. Certains virements ont toutefois été retardés pendant le renforcement des contrôles.
Une fraude bancaire d’une ampleur spectaculaire, des fonds qui circulent vers les actifs numériques et une question encore ouverte : comment les virements ont-ils pu être déclenchés ? À ce stade, les 133 millions de dollars constituent une estimation d’enquêteur, pas un bilan officiellement confirmé par la banque.
Cyberattaque contre le Crédit Mutuel Arkéa : que sait-on des 133 millions de dollars ?
Le Crédit Mutuel Arkéa a reconnu, le mercredi 4 novembre 2026, avoir subi une attaque informatique à l’origine d’opérations frauduleuses. Le groupe affirme que l’incident est désormais maîtrisé et que ses équipes poursuivent les investigations pour évaluer précisément les pertes.
Le montant qui retient l’attention vient de l’enquêteur spécialisé ZachXBT. Il avait d’abord identifié plus de 106 millions de dollars de retraits suspects en USDC et USDT, avant de relever 27 millions supplémentaires. Son estimation dépasse ainsi les 133 millions de dollars, sans constituer à ce stade un chiffre validé par Arkéa.
Les fonds auraient été détournés depuis Fortuneo, la banque en ligne du groupe, puis envoyés vers des comptes ouverts sur des plateformes de cryptomonnaies. L’enquêteur évoque aussi la possibilité que le total réel soit supérieur, notamment si des transactions de gré à gré ou d’autres circuits ont échappé aux premières analyses.
Comment les virements frauduleux auraient-ils contourné les contrôles ?
Selon les informations rapportées par le journaliste Grégory Raymond, les fraudeurs auraient pu émettre des virements en choisissant eux-mêmes le nom du bénéficiaire. Celui-ci aurait correspondu à l’identité déclarée sur les comptes de plateformes crypto, ce qui aurait compliqué la détection d’une discordance.
Les comptes destinataires auraient été créés avec de fausses identités suffisamment crédibles pour franchir les vérifications KYC, les procédures par lesquelles une plateforme contrôle ses clients. Il ne s’agirait donc pas, selon ces éléments, de comptes de la banque piratés chez les exchanges, mais de comptes mis en place par les auteurs présumés.
Le point d’entrée de la fraude reste inconnu. Deux pistes sont évoquées : une faille dans les systèmes de paiement de Fortuneo ou une manipulation humaine comparable à l’arnaque au président, où un salarié reçoit une demande de virement frauduleuse présentée comme urgente et venant d’un dirigeant.
Pour une entreprise, ces scénarios illustrent deux risques distincts : une faiblesse technique dans la sécurité informatique ou une fraude financière exploitant la confiance et la pression. Les investigations doivent déterminer lequel a rendu possibles les opérations.
Une vidéo d’actualité peut aider à suivre les annonces, mais elle ne remplace pas les confirmations officielles : le montant précis et le mécanisme du piratage restent à établir.
Des stablecoins à l’ETH : le parcours présumé des fonds
Les premières analyses de blockchain décrivent une dispersion rapide des sommes. Selon Bitquery, 62,98 millions de dollars en stablecoins auraient été convertis en 27 553 ETH en quatre heures, par l’intermédiaire d’UniswapX, un service d’échange décentralisé associé à Uniswap.
Les fonds auraient ensuite circulé entre plusieurs blockchains et services d’échange instantané, dont WellWallet et Kyrrex. Une partie aurait été convertie en Monero, une cryptomonnaie conçue pour offrir davantage de confidentialité sur les transactions. Ce parcours complique le suivi, sans rendre automatiquement les actifs impossibles à tracer.
| Élément suivi | Information rapportée | Ce qu’il faut retenir |
|---|---|---|
| Retraits repérés au départ | Plus de 106 millions de dollars en USDC et USDT | Première estimation publiée par ZachXBT |
| Estimation révisée | Plus de 133 millions de dollars | Le total reste une estimation d’enquêteur, non confirmée par la banque |
| Conversion signalée | 62,98 millions de dollars en 27 553 ETH | Conversion qui aurait eu lieu en quatre heures via UniswapX |
| Autres mouvements évoqués | Passages entre réseaux, services d’échange et Monero | La dispersion complique le suivi et le gel des fonds |
Kraken indique avoir restreint des comptes liés à l’incident, tandis que Crypto.com affirme avoir bloqué des fonds associés. Ces déclarations ne signifient pas que leurs systèmes ont été compromis : elles décrivent des mesures prises face à des mouvements suspects.
Clients de Fortuneo : quels effets après l’attaque ?
Arkéa assure que les avoirs de ses clients ne sont pas touchés et que l’incident n’a pas de conséquence financière pour eux. La banque indique avoir alerté les autorités et organismes de supervision, mobilisé ses équipes et temporairement suspendu certaines opérations afin de limiter le risque de nouveaux détournements.
Les transactions ont repris progressivement après le renforcement des mesures de sécurité. Certains virements ont pu être retardés : pour un client qui attend un transfert, ce délai ne signifie pas nécessairement que son compte a été débité ou que ses fonds ont disparu.
Le groupe poursuit l’évaluation des pertes et affirme que celles-ci ne remettent pas en cause sa solidité financière. La différence est essentielle : les pertes éventuelles de l’établissement et les avoirs des clients sont deux sujets distincts, même si leur séparation doit être vérifiée dans le cadre de l’enquête.
Face aux tentatives de récupération frauduleuse, la vigilance des clients reste utile. Les cybercriminels peuvent profiter de l’actualité pour envoyer de faux messages au nom d’une banque et réclamer des identifiants ou une validation urgente.
- Ne communiquez jamais vos codes reçus par SMS ou utilisés pour accéder à votre espace bancaire.
- Ne cliquez pas sur un lien reçu dans un message inattendu : ouvrez l’application ou le site officiel par vos propres moyens.
- En cas de doute sur un virement ou un message, contactez Fortuneo via ses canaux habituels, et non via le numéro ou le lien fourni dans le message.
- Signalez rapidement toute opération inconnue à la banque afin qu’elle puisse examiner le dossier et prendre les mesures adaptées.
Ces réflexes ne remplacent pas les contrôles techniques, mais ils réduisent les possibilités d’une fraude secondaire. Dans une affaire où la cybersécurité bancaire est au cœur des investigations, toute demande inhabituelle mérite une vérification indépendante.
Enquête sur le piratage : les questions encore ouvertes
Plusieurs points restent à éclaircir : l’origine des virements, le montant total réellement détourné et la part des fonds qui a pu être gelée. ZachXBT estime qu’une alerte plus rapide aurait peut-être permis de bloquer davantage d’argent, et critique le délai de signalement ; cette appréciation est celle de l’enquêteur, tandis que les investigations se poursuivent.
ZachXBT se dit par ailleurs très confiant que les responsables ne sont pas liés au groupe nord-coréen Lazarus. Cette analyse ne constitue pas une identification officielle des auteurs : à ce stade, les éléments publiés ne permettent pas d’attribuer définitivement l’attaque à un groupe précis.
Pour les spécialistes de la cybercriminalité, l’enjeu dépasse le seul suivi des cryptomonnaies : il faut comprendre comment des virements ont été autorisés, comment les identités des bénéficiaires ont été contrôlées et à quel moment les plateformes ont pu repérer les mouvements. C’est cette chaîne de décision qui permettra de mieux mesurer la portée du piratage.
