Le Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 avoir subi une cyberattaque qui a permis des « opérations frauduleuses ». Selon des analystes de la blockchain, plus d’une centaine de millions de dollars en stablecoins auraient été retirés de plateformes d’échange les 1er et 2 novembre, puis rapidement dispersés. La banque assure que les avoirs de ses clients ne sont pas touchés, mais le préjudice reste à chiffrer et le mode opératoire n’est pas détaillé.
Ce que la banque reconnaît, et ce qu’elle tait
Dans un communiqué daté de Brest et diffusé via Actus News, le groupe bancaire breton explique qu’une attaque informatique a rendu possibles des opérations frauduleuses. Par précaution, certaines transactions ont été suspendues puis reprises progressivement, ce qui a retardé l’exécution de certains virements. Le groupe affirme que l’incident est maîtrisé, que les autorités et les superviseurs ont été informés, et que les sommes concernées, encore en cours d’évaluation, ne menacent pas sa solidité financière.
Le texte ne dit rien de la manière dont les attaquants ont procédé ni du montant exact. Le Crédit Mutuel Arkéa, rappelle IT-Connect, regroupe le Crédit Mutuel de Bretagne, celui du Sud-Ouest ainsi que les filiales Fortuneo et Suravenir ; il ne faut pas le confondre avec le Crédit Mutuel Alliance Fédérale. Le groupe revendiquait 5,64 millions de clients fin 2025.
Des chiffres qui divergent selon les observateurs
L’affaire a d’abord été rendue publique par l’enquêteur ZachXBT, connu pour le pistage de fonds sur la blockchain. Le 2 novembre, il évoquait une entité européenne ayant perdu plus de 106 millions de dollars en stablecoins, puis un total supérieur à 133 millions le lendemain, avant de nommer la banque le 4 novembre, selon IT-Connect. Ce montant reste son estimation personnelle.
La société d’analyse Bitquery avance de son côté 126 millions de dollars de jetons USDC retirés de comptes ouverts chez Kraken, Crypto.com et OKX, en environ 28 heures entre le 1er et le 2 novembre, vers 17 portefeuilles. Kraken concentre à lui seul autour de 95 % des sommes. Bitquery mentionne aussi une estimation de la banque proche de 100 millions d’euros et l’ouverture d’une enquête par le parquet de Paris. Ses auteurs reconnaissent eux-mêmes que l’attribution de certains portefeuilles n’est pas confirmée par les plateformes.
Le circuit présumé de l’argent
Les analyses publiques dessinent un schéma de blanchiment très rapide :
- environ la moitié des fonds a été échangée contre de l’ether via UniswapX, soit près de 63 millions de dollars contre 27 553 ETH en quatre heures environ ;
- une partie a été convertie en DAI, un jeton que son émetteur ne peut pas geler ;
- le reste a transité par des ponts entre chaînes, des services d’échange instantané et, selon Bitquery, une voie vers Monero.
Tether a gelé 1,14 million d’USDT dès le 2 novembre, tandis que Circle n’avait bloqué aucun USDC au moment de l’analyse. Le 5 novembre au matin, Bitquery estimait qu’environ 37 millions de dollars se trouvaient encore sur Ethereum. Selon l’analyste Grégory Raymond cité par IT-Connect, les fonds seraient sortis par Fortuneo vers des comptes crypto ouverts sous de fausses identités ; Bitquery rapporte que, selon la banque, les attaquants seraient entrés par la plateforme d’un fournisseur et auraient émis des virements depuis le compte propre de l’établissement vers d’autres banques. Aucune de ces hypothèses n’a été validée officiellement.
Pourquoi cette affaire inquiète au-delà de la Bretagne
Le cas illustre un risque encore peu discuté : un virement bancaire classique peut, en quelques minutes, devenir un actif numérique difficile à rattraper. Bitquery relève un délai médian de cinq minutes entre la réception des fonds et leur transfert suivant. Une fois les jetons échangés contre des actifs non gelables, la marge de manœuvre des émetteurs disparaît. Pour les banques, la question devient celle des contrôles sur les virements sortants à destination des plateformes d’échange et de la vérification d’identité de ces dernières.
Pour les clients, le danger immédiat est ailleurs. La banque comme IT-Connect mettent en garde contre les escroqueries au faux conseiller qui exploitent ce type d’actualité. La règle reste simple : ne jamais communiquer d’identifiants, de codes reçus par SMS ou de numéros de carte, et raccrocher face à un appel demandant de valider une opération.
Questions fréquentes
Les clients du Crédit Mutuel de Bretagne ou de Fortuneo ont-ils perdu de l’argent ?
Selon le communiqué du groupe, les avoirs des clients ne sont pas impactés. Certains virements ont seulement été exécutés en différé pendant la suspension préventive.
Quel est le montant réellement dérobé ?
Il n’est pas officiel. Les estimations publiques vont d’environ 100 millions d’euros, chiffre attribué à la banque par Bitquery, à plus de 133 millions de dollars selon ZachXBT.
Que faire si l’on reçoit un appel au sujet de cette attaque ?
Raccrocher et rappeler son conseiller par le numéro habituel. La banque rappelle qu’elle ne demande jamais d’identifiants, de mots de passe ou de codes de validation.
Sources
- Braquage numérique au Crédit Mutuel Arkéa : la banque confirme l'attaque — IT-Connect, 2026-11-04
- EU $106M crypto theft investigation — Bitquery, 2026-11-05
- Crédit Mutuel Arkéa annonce avoir été victime d'une cyberattaque (communiqué Actus News) — FinancialContent / Actus News, 2026-11-04