Crédit Mutuel Arkéa confirme une cyberattaque, un enquêteur évoque 133 millions de dollars de pertes

La banque confirme l'attaque

Crédit Mutuel Arkéa, la banque régionale qui couvre la Bretagne et d'autres parties de l'ouest de la France au sein du groupe Crédit Mutuel, a indiqué mercredi 4 novembre 2026 avoir été la cible d'une cyberattaque. L'intrusion a permis la réalisation de transactions frauduleuses, et la banque affirme que l'incident est désormais sous contrôle. Elle n'a pas confirmé le montant dérobé. Le Télégramme a avancé une perte de 133 millions de dollars, soit environ 118 millions d'euros.

La banque a également prévenu les autorités de régulation et de supervision françaises et européennes, et elle a assuré à ses clients que l'épisode n'aurait aucune conséquence financière pour eux. Le communiqué de la banque indique :

« Cet incident n'a aucune conséquence financière pour eux. »

Comment le vol a été révélé

L'alerte est venue de ZachXBT, un enquêteur on-chain américain pseudonyme dont les travaux sur la sécurité des cryptomonnaies et le blanchiment d'argent sont reconnus internationalement. Le lundi 2 novembre, il a signalé une perte suspectée de 106 millions de dollars au sein d'une entité de l'Union européenne non identifiée. Le mardi 3 novembre, il a fait état de nouveaux retraits supérieurs à 27 millions de dollars et a nommé la banque, dont il a estimé les actifs à environ 235 milliards de dollars. Il a d'abord donné ces détails sur son compte Telegram, avant de déclarer à BFM que le total pourrait être plus élevé si des fonds avaient quitté la blockchain.

L'enquêteur a indiqué que l'attaque avait duré plusieurs jours et que les pertes réelles pourraient être supérieures si l'activité hors plateformes était prise en compte. Il a également dit avoir un haut degré de confiance dans le fait que l'attaquant n'était pas lié au groupe Lazarus de Corée du Nord.

Des questions ouvertes sur l'argent

Le total de 133 millions de dollars est le chiffre de l'enquêteur, repris dans la presse, et la banque ne l'a pas confirmé. Les composantes de 106 millions et de 27 millions ont été signalées à des jours différents, et l'enquêteur a déclaré que le montant final pourrait être plus élevé. Il a aussi soutenu que le délai mis par la banque à alerter les autorités avait permis de blanchir plus de 30 millions de dollars, des fonds que les autorités européennes auraient pu geler.

Perte suspectée signalée le 2 novembre106

Nouveaux retraits signalés le 3 novembre27

Total cumulé rapporté133

Perte suspectée signalée le 2 novembre

106 millions USD

Nouveaux retraits signalés le 3 novembre

27 millions USD

Total cumulé rapporté

133 millions USD

Données tirées du texte de l’article

BFM a rapporté que les fonds avaient été envoyés vers des plateformes d'échange de cryptomonnaies et convertis en stablecoins, qu'il présente comme les deux plus importants du marché. BFM a également noté que Crédit Mutuel Arkéa était moins avancé que d'autres groupes français sur les cryptomonnaies. En mai, le groupe a déposé une demande d'agrément européen MiCA pour proposer des services crypto à ses clients, un dossier qui, selon BFM, semblait toujours ouvert.

Ce qui reste flou

Aucun détail sur la manière dont l'intrusion a été menée n'a été publié à ce stade. La banque n'a pas précisé quels systèmes avaient été touchés ni combien de temps les transactions frauduleuses ont duré. Les chiffres rapportés reposent principalement sur le traçage de l'enquêteur lui-même, que la banque n'a pas validé. La banque n'a pas encore fourni de montant confirmé.