Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 une cyberattaque ayant permis des opérations frauduleuses. Cette annonce survient quelques heures après que l’enquêteur onchain ZachXBT a dés
Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 une cyberattaque ayant permis des opérations frauduleuses. Cette annonce survient quelques heures après que l’enquêteur onchain ZachXBT a désigné la banque bretonne comme victime présumée d’un vol chiffré à plus de 133 millions de dollars. Ce montant correspond à l’estimation de ZachXBT, reprise par Le Télégramme, qui le convertit en 118 millions d’euros. Arkéa ne confirme cependant pas cette somme. Dans le même temps, le trajet des fonds fait l’objet de deux lectures opposées : comptes d’exchange vidés pour l’une, virements bancaires convertis en crypto pour l’autre.
Selon l’AFP, Crédit Mutuel Arkéa a reconnu le 4 novembre 2026 un hack ayant permis des opérations frauduleuses. La banque juge l’incident maîtrisé, a suspendu temporairement certaines transactions par précaution et n’a confirmé ni le montant ni la méthode du détournement. Cette cyberattaque intervient moins d’une semaine après le piratage de Binance. L’exchange crypto estime l’ampleur de cet autre incident à 6,3 milliards de dollars d’actifs affectés.
Le chiffre de 133 millions de dollars est cité par Le Télégramme, sans que la banque Arkéa ne le valide. Le quotidien indique également qu’Arkéa a avisé la Banque de France, qui n’a émis aucun commentaire auprès de l’AFP. Un e-mail d’Arkéa, partagé sur X par Louis Tellier, va d’ailleurs dans le même sens que le message adressé aux clients :
Cet incident n’a aucune conséquence financière pour eux.
Crédit Mutuel Arkéa, message à ses clients, 4 novembre 2026, cité par l’AFP.
Selon l’analyse de Bitquery, 108,8 millions de dollars d’USDC ont quitté des comptes ouverts chez Kraken, Crypto.com et OKX en 21 heures, les 1er et 2 novembre 2026, vers 15 portefeuilles crypto. Le premier retrait date de 12 h 25 UTC le 1er novembre. À 23 h 10 UTC, 98 % des fonds étaient sortis, Kraken en ayant versé 95 %.
Les premiers signalements du hack viennent de ZachXBT. Ils ont été relayés sur X le 2 novembre par Officer’s Notes, avec une liste de 11 adresses. Bitquery en retrouve quatre supplémentaires, qui ont reçu 28 millions de dollars et ne figuraient pas dans cette liste.
Les deux analyses ne donnent cependant pas la même lecture des actifs transférés :
L’argent change ensuite de forme. L’USDC et l’USDT sont des stablecoins dont les émetteurs, Circle et Tether, peuvent geler les jetons. L’Ethereum (ETH), en revanche, ne dépend pas d’un émetteur central capable de bloquer les unités en circulation.
Dans la nuit du 1er au 2 novembre, Bitquery compte 62,98 millions de dollars de stablecoins convertis en 27 553 ETH en environ quatre heures via UniswapX, à près de 2 286 $ l’unité. Le reste transite notamment par du DAI, avant une conversion en Monero (XMR).
Start your crypto adventure safely with OKXThis link uses an affiliate program.Deux lectures s’opposent également au 4 novembre 2026. Bitquery ne nomme pas la victime du hack. La société relève toutefois que 11 des 15 portefeuilles destinataires avaient déjà reçu des fonds provenant de ces exchanges crypto, le plus ancien transfert remontant au 4 mai. Elle privilégie ainsi l’hypothèse d’une intrusion chez le titulaire des comptes.
À l’inverse, le journaliste Grégory Raymond rapporte que de la monnaie bancaire aurait été sortie avant d’être convertie en cryptomonnaies. Selon son fil sur X, le hack viserait plus précisément Fortuneo, la banque en ligne du groupe. Les virements auraient été émis au nom exact du titulaire de comptes crypto ouverts par des fraudeurs, dans le cadre d’un réseau de « mules ». Ce point repose cependant sur ses seules informations. Arkéa n’a pas détaillé la méthode selon l’AFP.
Au 3 novembre 2026 à 13 h 27 UTC, 61 millions de dollars se trouvaient encore sur Ethereum dans des adresses liées au hacker. Cela représente 56 % du montant tracé par Bitquery, dont 53,2 millions de dollars en ETH. Environ 50,3 millions de dollars étaient déjà sortis par des dépôts sur des exchanges crypto.
Seule une partie des fonds reste donc susceptible d’être gelée par les émetteurs de stablecoins.
Une autre intervention est toutefois à signaler : Crypto.com a confirmé avoir bloqué des fonds liés au hack afin d’empêcher leur circulation sur sa plateforme. L’exchange précise que les fonds de ses utilisateurs restent sécurisés et accessibles.
L’écart reste important avec Binance, où Bitquery compte plus de 2 milliards de dollars gelés en quelques heures par Tether et Circle. Le 3 novembre, 396 ETH sont également entrés dans une adresse de dépôt Kraken. Ce transfert permet à la plateforme d’identifier le compte crédité, sans établir à lui seul que les fonds ont été gelés.
Selon ZachXBT, plus de 30 millions de dollars auraient été blanchis alors que les autorités européennes auraient pu les geler avec une déclaration en bonne et due forme. Il s’agit d’une accusation de l’enquêteur, et non d’un fait établi.
Le règlement DORA, applicable depuis le 17 janvier 2025, oblige les entités financières à déclarer à leur autorité compétente les incidents majeurs liés aux technologies de l’information et de la communication (y compris les hacks).
Le règlement délégué (UE) 2025/301 fixe les délais de notification initiale :
Un rapport intermédiaire doit ensuite être transmis au plus tard 72 heures après l’envoi de la notification initiale. Un rapport final est également prévu dans le mois suivant le rapport intermédiaire ou sa dernière mise à jour.
Reste à savoir si ce hack a été classé comme majeur et à quelle date. Pour l’heure, Arkéa ne l’a pas précisé. Le Télégramme indique néanmoins que la Banque de France a été avisée.
À ce stade, deux éléments sont donc établis : Crédit Mutuel Arkéa a confirmé un hack informatique le 4 novembre 2026 et Bitquery a retracé des mouvements de fonds vers l’ETH et le Monero. Mais le montant total du préjudice, l’origine exacte des fonds et le mode opératoire restent à éclaircir. Quatre montants, plusieurs sources et toujours aucune confirmation des 133 millions de dollars. Le dossier reste à suivre…
