- Le Crédit Mutuel Arkéa a subi une attaque informatique entraînant le vol de plus de 133 millions de dollars, soit environ 118 millions d’euros.
- Des opérations frauduleuses ont été réalisées, avec des fonds convertis en cryptomonnaies comme Monero et Ethereum.
- La banque affirme que l’incident est maîtrisé et n’a pas d’impact financier sur ses clients, malgré des accusations d’avoir étouffé l’affaire.
Selon l’enquêteur ZachXBT et Le Télégramme, plus de 133 millions de dollars, soit environ 118 millions d’euros, auraient été dérobés.
Arkéa confirme des “opérations frauduleuses”
Dans un communiqué publié ce mercredi, le Crédit Mutuel Arkéa explique avoir subi une attaque informatique qui a permis “la réalisation d’opérations frauduleuses”. La banque assure que l’incident est aujourd’hui maîtrisé et qu’il n’a aucune conséquence financière pour ses clients. Elle n’a en revanche donné ni le montant des pertes ni la façon dont les pirates ont procédé. C’est l’AFP qui a avancé le chiffre de 118 millions d’euros. Le groupe, dont le siège est au Relecq-Kerhuon, près de Brest, comptait 5,64 millions de clients à la fin de l’année 2025, pour 211,6 milliards d’euros de bilan et un bénéfice net de 450 millions d’euros.
Les premiers retraits le 1er novembre
L’affaire a d’abord été révélée par ZachXBT, un enquêteur indépendant spécialisé dans les cryptomonnaies. Le lundi 2 novembre, il a signalé sur Telegram qu’une entité européenne, qu’il ne nommait pas encore, avait perdu plus de 106 millions de dollars la veille, retirés en stablecoins USDC et USDT depuis plusieurs comptes ouverts sur des plateformes d’échange. Selon la société d’analyse Bitquery, les premiers retraits ont eu lieu le dimanche 1er novembre à 12 h 25 (heure UTC) sur OKX, puis 44 minutes plus tard sur Kraken. En 21 heures, 108,8 millions de dollars en USDC ont été retirés de comptes hébergés chez Kraken, Crypto.com et OKX, vers 15 portefeuilles, et Kraken représentait à lui seul environ 95 % du total, en 178 retraits. Le 3 novembre, ZachXBT a relevé 27 millions de dollars de retraits supplémentaires, dont une partie après sa première alerte, ce qui porte le total à plus de 133 millions de dollars. “Je soupçonne que le montant volé est plus élevé”, a-t-il ajouté. Dans la nuit du 3 au 4 novembre, à 3 h 24 heure de Paris, il a nommé publiquement le Crédit Mutuel Arkéa.
Une partie des fonds déjà convertie en Monero
Dans la nuit du 1er au 2 novembre, environ 63 millions de dollars en stablecoins ont été échangés contre 27 553 ethers sur UniswapX. Le 2 novembre à 13 h 47, il restait encore environ 78 millions de dollars traçables sur la blockchain, dont 3,7 millions d’USDC que Circle pouvait geler. Les pirates ont ensuite fait passer une partie de l’argent par Kyrrex et WellWallet, puis par le service Wagyu pour le convertir en Monero. Tether a gelé de son côté environ 1,14 million de dollars en USDT, et Kraken et Crypto.com ont indiqué à Cointelegraph avoir bloqué des comptes ou des fonds liés au vol, en précisant qu’ils n’avaient pas été piratés. Le 3 novembre, ZachXBT a accusé la banque d’avoir étouffé l’affaire, en estimant que plus de 30 millions de dollars auraient pu être gelés avec un signalement plus rapide. Il écarte en revanche “avec un haut degré de confiance” la piste de la Corée du Nord, qui avait volé 6,3 milliards de dollars à Binance le 29 octobre, comme nous le racontions la semaine dernière.
Arkéa avait demandé une licence pour les cryptomonnaies
En mai 2026, le Crédit Mutuel Arkéa avait déposé une demande d’autorisation au titre du règlement européen MiCA, pour proposer des services de cryptomonnaies à ses clients et en marque blanche à d’autres établissements via sa filiale Arkéa Banking Services. Depuis janvier 2025, le règlement européen DORA oblige par ailleurs les banques à signaler un incident informatique majeur à leur autorité de contrôle dans les 24 heures qui suivent sa détection. La sénatrice Nathalie Goulet (UDI) a fait savoir qu’elle se penchait sur l’affaire.
