Hack crypto à 118 M€ : ce que la version officielle du Crédit Mutuel Arkéa cache sur l'ampleur réelle du piratage

Une banque régionale française confrontée à un vol massif de cryptoactifs : le scénario qui circulait depuis quelques jours a pris un tout autre relief le 4 novembre 2026. Crédit Mutuel Arkéa a alors confirmé avoir été victime d’une cyberattaque ayant permis la réalisation d’opérations frauduleuses, tout en assurant que les avoirs de ses clients n’étaient pas touchés et que l’incident était « maîtrisé ». En coulisses, l’enquêteur on-chain ZachXBT attribue ce piratage à la banque bretonne et évoque plus de 133 millions de dollars, soit environ 118 millions d’euros.

Entre communiqué officiel prudent, analyses blockchain détaillées et estimations externes, l’écart se creuse sur le montant exact du préjudice. Arkéa parle d’un choc absorbable pour sa solidité financière, tandis que des outils comme Bitquery ont déjà retracé plus de 108,8 millions de dollars d’USDC sortis d’exchanges vers une quinzaine de portefeuilles. Au cœur de ce dossier : un parcours complexe stablecoins → ETH → services d’échange, et un cadre réglementaire européen qui encadre désormais de près la gestion de ce type d’incident. L’histoire n’est clairement pas terminée.

Hack Crédit Mutuel Arkéa : ce que la banque confirme, ce que ZachXBT avance

Le 4 novembre 2026, Crédit Mutuel Arkéa annonce officiellement avoir été victime d’une cyberattaque ayant permis la réalisation « d’opérations frauduleuses ». Le groupe explique avoir immédiatement saisi les autorités compétentes, suspendu temporairement certaines transactions « afin de sécuriser les opérations et de prévenir tout nouveau mouvement frauduleux », puis engagé une reprise progressive des services une fois des mesures de sécurisation renforcées mises en place. Arkéa insiste sur le fait que l’incident est « clos et aujourd’hui maîtrisé » et que l’attaque n’entraîne « aucune conséquence » sur les avoirs des clients, uniquement une exécution différée de certains virements.

Sur le plan financier, la banque précise que les montants impactés sont encore en cours d’évaluation, tout en affirmant qu’ils ne sont « pas de nature à remettre en cause la solidité et la santé financière du Groupe ». Dans un message adressé à ses clients, cité par l’AFP, l’établissement résume la situation en une formule rassurante : « Cet incident n’a aucune conséquence financière pour eux », a indiqué Crédit Mutuel Arkéa. Pendant ce temps, ZachXBT publie sur X son analyse on-chain, attribuant ce qu’il présente comme un vol de plus de 133 millions de dollars à la banque bretonne, chiffre repris par Le Télégramme qui le convertit en environ 118 millions d’euros, sans validation d’Arkéa.

Parmis les éléments encore flous, l’origine exacte des fonds détournés fait l’objet de lectures opposées. Bitquery, qui ne nomme pas la victime, constate que 11 des 15 portefeuilles destinataires avaient déjà reçu de l’argent depuis Kraken, Crypto.com ou OKX et privilégie l’hypothèse d’une intrusion chez le titulaire de ces comptes. Le journaliste Grégory Raymond décrit au contraire un scénario où de la monnaie bancaire aurait été virée au nom de « mules » vers des comptes crypto, avec Fortuneo comme façade. Arkéa, de son côté, a indiqué que l’attaque passait par un prestataire externe, qu’elle concernait un compte propre du groupe et non les dépôts des clients, et que la banque en ligne Fortuneo n’était pas le point d’entrée.

108,8 M$ tracés sur la blockchain : le chemin des fonds et le cadre DORA

Les premières alertes publiques sont venues de ZachXBT, relayé sur X avec une liste d’adresses suspectes. Bitquery a ensuite affiné le tableau : sur les 1er et 2 novembre 2026, 108,8 millions de dollars d’USDC ont quitté en 21 heures des comptes ouverts chez Kraken, Crypto.com et OKX, vers 15 portefeuilles. Le premier retrait est horodaté à 12 h 25 UTC le 1er novembre, et à 23 h 10 UTC, 98 % des fonds ont déjà quitté les plateformes, dont 95 % provenant de Kraken. Dans la nuit, environ 62,98 millions de dollars de stablecoins sont convertis en 27 553 ETH via UniswapX, à un prix proche de 2 286 dollars l’unité, tandis que le reste transite par du DAI avant, pour partie, une conversion en Monero.

Au 3 novembre 2026 à 13 h 27 UTC, Bitquery dénombre encore 61 millions de dollars sur Ethereum dans des adresses liées au hacker, dont 53,2 millions en ETH, soit 56 % du montant tracé, le solde d’environ 50,3 millions ayant déjà été déposé sur des exchanges. Seule une fraction reste gelable : Tether a bloqué 1,14 million de dollars d’USDT, tandis que Circle n’avait pas gelé les 2,53 millions d’USDC restants au moment du relevé, ce qui illustre l’écart entre stablecoins susceptibles d’être bloqués par leurs émetteurs et un actif comme Ethereum, qui ne peut pas l’être. Dans ce contexte, ZachXBT affirme qu’au moins 30 millions de dollars auraient été blanchis alors que les autorités européennes auraient pu agir plus tôt, une accusation qui n’a pas été documentée publiquement. Le règlement européen DORA, applicable depuis le 17 janvier 2025, impose pourtant aux banques de déclarer tout incident majeur lié aux technologies de l’information dans les quatre heures suivant sa classification comme tel, puis au plus tard 24 heures après en avoir eu connaissance, avec un rapport intermédiaire sous 72 heures et un rapport final dans le mois. Reste à savoir à quelle date précise l’attaque contre Crédit Mutuel Arkéa a été classée, et comment ces obligations de notification ont été articulées avec l’enquête technique en cours et les mises en garde de la banque contre les tentatives de phishing visant désormais ses clients.