Le piratage du Crédit Mutuel Arkéa a permis de détourner plus de 133 millions de dollars (environ 116 millions d’euros au cours actuel), d’après l’estimation d’un enquêteur spécialisé dans l’analyse des blockchains rendue publique le 4 novembre 2026. La banque, maison mère de Fortuneo, reconnaît avoir subi une attaque ayant permis des opérations frauduleuses, mais assure que ses clients ne subiront aucune conséquence financière.
Que s’est-il passé chez le Crédit Mutuel Arkéa ?
Des pirates ont réussi à réaliser des opérations frauduleuses au détriment de la banque pendant plusieurs jours. L’argent aurait d’abord été prélevé en monnaie classique, puis converti en cryptomonnaies pour brouiller les pistes. Le moyen utilisé pour s’introduire dans les systèmes n’est toujours pas connu.
Les premiers retraits ont été repérés le 1er novembre 2026 vers 13h25, heure de Paris, sur des comptes ouverts chez les plateformes d’échange OKX, Kraken et Crypto.com. En 21 heures, environ 108,8 millions de dollars de USDC ont quitté ces plateformes vers une quinzaine de portefeuilles. Le USDC est un stablecoin, c’est-à-dire une cryptomonnaie dont la valeur suit celle du dollar, un peu comme un jeton de casino toujours échangeable au même prix.
Une première alerte a été lancée publiquement le 2 novembre, sans nommer la victime. D’autres retraits, pour environ 27 millions de dollars, ont ensuite été identifiés, ce qui porte le total au-delà de 133 millions. Le nom du Crédit Mutuel Arkéa est apparu dans la nuit du 3 au 4 novembre.
Comment l’argent a-t-il été blanchi ?
Les fonds ont été dispersés très vite pour devenir difficiles à suivre. Dans la nuit du 1er au 2 novembre, environ 63 millions de dollars de stablecoins ont été échangés contre 27 553 ethers (ETH) en quatre heures, via le service d’échange décentralisé UniswapX. Une autre partie a été convertie en Monero, une cryptomonnaie conçue pour masquer l’origine et la destination des paiements.
Les pirates se sont aussi appuyés sur des services d’échange instantané et sur de nombreux comptes de « mules », des intermédiaires qui reçoivent puis transfèrent l’argent pour le compte d’un réseau. L’attaque n’est pas attribuée au groupe nord-coréen Lazarus, à l’origine de plusieurs vols record, dont le piratage de Binance à 6,3 milliards de dollars fin octobre.
- Plus de 133 millions de dollars retirés, montant qui pourrait être plus élevé.
- Retraits concentrés sur Kraken (près de 95% du total), Crypto.com et OKX.
- Conversion en ETH puis en Monero, et transferts entre plusieurs blockchains.
- Plus de 30 millions de dollars blanchis avant la révélation de l’affaire.
Que dit la banque sur ce piratage ?
Le Crédit Mutuel Arkéa confirme une attaque ayant permis des opérations frauduleuses et indique que l’incident est désormais maîtrisé. La banque n’a pas communiqué le montant des pertes. Elle explique avoir mobilisé ses équipes, suspendu temporairement certaines opérations et prévenu les autorités et ses superviseurs.
Les opérations suspendues reprendront une fois les vérifications de sécurité terminées. De leur côté, Kraken et Crypto.com ont restreint des comptes ou bloqué des fonds liés au vol, en précisant que leurs propres systèmes n’ont pas été compromis.
La rapidité du signalement est discutée. L’enquêteur qui a suivi les fonds estime qu’une alerte plus précoce aurait permis de geler davantage d’argent. Le règlement européen DORA, qui encadre la résilience numérique du secteur financier, impose aux banques de déclarer un incident informatique majeur à leur superviseur dans les 24 heures suivant sa détection.
Les clients de Fortuneo et du Crédit Mutuel de Bretagne sont-ils concernés ?
Rien n’indique que l’épargne ou les comptes des particuliers aient été touchés par le piratage du Crédit Mutuel Arkéa. Les retraits concernent des comptes sur des plateformes crypto, et aucune fuite de données clients n’a été signalée. La banque affirme que l’incident n’a aucune conséquence financière pour sa clientèle.
Le groupe compte environ 5,6 millions de clients, répartis entre le Crédit Mutuel de Bretagne, le Crédit Mutuel du Sud-Ouest et la banque en ligne Fortuneo. Son bilan atteignait 211,6 milliards d’euros fin 2025. En cas de défaillance d’une banque, les dépôts restent garantis jusqu’à 100 000 euros par client et par établissement par le Fonds de garantie des dépôts et de résolution.
En mai 2026, Arkéa a déposé une demande d’agrément MiCA, le cadre européen des services sur cryptoactifs, pour proposer ce type de services à ses clients. La raison de la présence de stablecoins sur des comptes de plateformes d’échange n’a pas été expliquée.
Comment éviter les arnaques au faux conseiller après le piratage ?
Le principal risque pour les clients vient des escrocs qui profitent de l’actualité. Le scénario est connu : un faux conseiller appelle, évoque le piratage du Crédit Mutuel Arkéa et demande de valider une opération « de sécurité » dans l’application. Le numéro affiché peut être celui de la vraie banque, car il est facile à usurper.
- Une banque ne demande jamais de valider une opération ni de communiquer un code par téléphone.
- En cas de doute, raccrochez et rappelez le numéro inscrit au dos de la carte ou dans l’application.
- Ne transférez jamais votre épargne vers un compte présenté comme « sécurisé ».
- Refusez toute demande de validation qui ne correspond pas à un achat que vous faites.
Ces réflexes rejoignent ceux qui valent pour les autres fuites récentes, comme celles de l’ANTS et de SFR. Activer une clé d’accès (passkey) sur ses comptes en ligne limite aussi les risques d’hameçonnage. Le Crédit Mutuel Arkéa publie habituellement ses résultats annuels en février, une échéance à laquelle l’impact financier de l’attaque pourrait être précisé.
