Piratage du Crédit Mutuel Arkéa : la banque confirme l’attaque, ZachXBT suit 133 millions de dollars

La banque coopérative française Crédit Mutuel Arkéa a confirmé le mercredi 4 novembre 2026 une cyberattaque qui a permis, selon ses termes, des « opérations frauduleuses ». L’enquêteur on-chain ZachXBT relie l’attaque à des sorties de plus de 133 millions de dollars, qui seraient passées par des plateformes d’échange crypto, des stablecoins, de l’ether et du Monero. La banque n’avance à ce stade aucun montant et souligne que les avoirs de ses clients ne sont pas touchés.

Deux éléments sont donc établis : une attaque que la banque reconnaît elle-même, et une piste financière qu’un analyste blockchain réputé retrace publiquement. Que les deux se recoupent entièrement, Arkéa ne l’a ni confirmé ni démenti jusqu’ici. Cet article fait le point sur ce qui est acquis, ce qui reste ouvert et les précautions que les clients bancaires détenant des cryptoactifs ont intérêt à prendre dès maintenant.

Piratage du Crédit Mutuel Arkéa : ce que la banque a confirmé le 4 novembre

Crédit Mutuel Arkéa appartient au groupe Crédit Mutuel et est implanté surtout en Bretagne et dans le Sud-Ouest. Selon sa propre communication sur la cyberattaque, le groupe emploie plus de 12 000 salariés, sert plus de 5,8 millions de sociétaires et clients et affiche un total de bilan de 211,5 milliards d’euros.

Dans ce communiqué, repris mercredi par le média spécialisé Decrypt, la banque écrit que l’incident est « clos et sous contrôle ». L’activité reprend progressivement, une fois les mesures de sécurité renforcées en place. Les avoirs des clients ne sont pas affectés ; l’attaque n’aurait fait que retarder l’exécution de certains virements. Les montants concernés sont encore en cours d’évaluation, mais ne sont « en aucun cas de nature à remettre en cause la solidité et la santé financière du groupe ».

Arkéa indique en outre avoir informé les autorités de supervision compétentes dès la découverte de l’attaque et suspendu certaines transactions par précaution, afin d’empêcher d’autres mouvements frauduleux. La banque met expressément ses clients en garde contre des tentatives d’hameçonnage dans le sillage de l’incident. Selon Decrypt, elle n’a pas précisé si des cryptoactifs sont directement concernés ni chiffré le préjudice.

ZachXBT et les 133 millions de dollars : comment la piste a traversé les plateformes crypto

ZachXBT est un enquêteur blockchain pseudonyme qui retrace depuis des années vols et escroqueries à partir des données de transaction publiques. Le lundi 2 novembre, il a signalé, selon Decrypt, qu’une entité non nommée de l’Union européenne avait peut-être perdu le 1er novembre plus de 106 millions de dollars sur des comptes ouverts auprès de plusieurs plateformes d’échange. Les fonds auraient été retirés en USDC et en USDT, des stablecoins adossés au dollar américain.

Mardi, il a désigné sur sa chaîne Telegram le Crédit Mutuel Arkéa comme victime présumée, décrivant l’établissement comme une « banque française disposant de 235 milliards de dollars d’actifs ». L’attaque se serait étalée sur plusieurs jours. Dans un complément publié le même jour, il a ajouté 27 millions de dollars de retraits supplémentaires sur des plateformes, dont une partie postérieure à sa première publication. Il arrive ainsi à plus de 133 millions de dollars. Il a également publié quatre adresses Ethereum qu’il attribue au vol.

Selon Decrypt, ZachXBT n’a révélé ni comment il a identifié la banque ni par quel moyen l’attaquant a obtenu l’accès aux comptes. Il s’attend à ce que le total augmente encore une fois les transactions de gré à gré prises en compte. Ces opérations OTC (over the counter) sont des transactions conclues directement entre deux parties, en dehors du carnet d’ordres public d’une plateforme ; elles n’apparaissent pas dans les retraits.

Blanchiment via stablecoins, ether et Monero : le parcours présumé du butin

Le circuit décrit par ZachXBT suit un schéma que les enquêteurs connaissent de nombreux vols d’ampleur. D’abord, l’attaquant aurait converti des USDC en ether. La raison tient à la conception des stablecoins : des émetteurs comme Circle peuvent geler les avoirs en USDC d’adresses signalées par les autorités ou des enquêteurs. Qui laisse dormir des stablecoins volés s’expose donc à leur gel. L’ether n’a pas d’émetteur capable de bloquer une adresse.

Dans un deuxième temps, selon ZachXBT, les fonds ont transité par des services d’échange instantané. Il s’agit de services de conversion où l’on échange des jetons contre d’autres sans compte client ; pour de petits montants, ils n’exigent souvent aucune vérification d’identité. Une partie du butin a ensuite été convertie en Monero. Monero est une cryptomonnaie qui masque par défaut l’expéditeur, le destinataire et le montant d’une transaction, si bien que les paiements sont presque impossibles à suivre sur sa blockchain.

L’attaquant a par ailleurs déplacé des fonds vers plusieurs blockchains au moyen de ponts. Un pont (bridge) relie deux blockchains : il bloque les jetons d’un côté et émet leur équivalent de l’autre. Chacune de ces étapes alourdit le travail des enquêteurs, car la piste se disperse sur des réseaux différents, dotés chacun de leurs propres outils d’analyse.

Sur le marché, l’affaire n’a laissé jusqu’ici aucune trace visible. Selon CoinPaprika, le Monero cotait jeudi matin environ 635 dollars, soit 0,2 % de moins que la veille, tandis que l’ether gagnait 5,3 % sur la même période, à environ 2 430 dollars. Avec des volumes quotidiens qui se chiffrent en milliards, même des montants à neuf chiffres se perdent dans les échanges.

Divulgation sous pression : l’accusation de ZachXBT et la réponse de la banque

Plus que le montant, c’est la critique de ZachXBT sur la gestion de l’incident qui frappe. Avant de citer le nom, il avait écrit, selon Decrypt, que son hypothèse de travail était qu’une grande institution financière d’Europe de l’Ouest avait été attaquée et que l’affaire était en train d’être « étouffée ». Il reproche à l’établissement de ne pas avoir divulgué l’incident en bonne et due forme. De ce fait, les autorités n’auraient plus pu geler environ 30 millions de dollars de fonds volés.

La banque présente les faits autrement. Selon son communiqué, elle a informé les autorités de supervision immédiatement après la découverte de l’attaque et pris aussitôt des contre-mesures. Les informations publiques ne permettent pas de savoir quand exactement Arkéa a détecté l’attaque ni quand le signalement au superviseur a eu lieu. L’accusation ne peut donc, à ce stade, être ni confirmée ni réfutée.

Concrètement, ce différend montre à quel point les chances de succès face à un vol de cryptoactifs dépendent de la rapidité. Plateformes et émetteurs de stablecoins ne peuvent geler des avoirs que tant qu’ils les détiennent encore. Une fois les jetons passés en Monero via des services d’échange, leur récupération est en règle générale exclue. Selon ZachXBT, les auteurs sont inconnus ; il affirme toutefois avec une « grande certitude » qu’il ne s’agit pas du groupe nord-coréen Lazarus, en invoquant plusieurs caractéristiques du blanchiment.

Agrément MiCA et crypto bancaire : les projets d’Arkéa pour les particuliers

Le calendrier est délicat. Arkéa se prépare depuis des mois à l’activité crypto. D’après un article du quotidien financier L’Agefi de mai, repris par Decrypt, le groupe a demandé un agrément au titre de MiCA. MiCA est le règlement européen sur les marchés de cryptoactifs ; depuis fin 2024, il fixe qui peut proposer des services sur cryptoactifs dans l’UE et quelles obligations s’y appliquent.

Avec cet agrément, Arkéa entend proposer des services crypto à ses propres clients particuliers et les commercialiser aussi en marque blanche auprès d’autres établissements via sa filiale Arkéa Banking Services. La marque blanche signifie qu’un prestataire fournit la technologie et qu’une autre entreprise la vend sous son propre nom à ses clients. L’effet de l’attaque actuelle sur la procédure d’agrément reste incertain ; la banque ne s’est pas exprimée à ce sujet.

Si vous achetez déjà des cryptoactifs, vérifiez que le prestataire est agréé. Les plateformes titulaires d’un agrément MiCA et ce qui les distingue figurent dans notre comparatif des plateformes crypto réglementées. Un agrément n’empêche pas un piratage, mais il oblige le prestataire à ségréguer les actifs des clients, à mettre en place des dispositifs de sécurité et à rendre compte au superviseur.

Trading crypto chez Sparkasse et Volksbank : qui conserve les jetons en Allemagne

Pour les investisseurs en Allemagne, l’affaire est instructive surtout en raison d’une évolution : là aussi, le trading de cryptoactifs entre dans les applications des banques de détail. Volksbanken et Sparkassen ont lancé ou préparent le négoce de bitcoin et d’autres jetons. Notre point sur le trading crypto chez Sparkasse résume la situation actuelle.

Dans le modèle bancaire, vous achetez les jetons via l’application habituelle, mais leur conservation est assurée en arrière-plan par un prestataire, le conservateur de cryptoactifs. Deux questions de sécurité se trouvent ainsi liées : l’informatique de la banque par laquelle vous passez vos ordres, et la conservation chez le partenaire. Une attaque contre l’un des deux ne touche pas automatiquement vos jetons, comme le montre l’affirmation d’Arkéa selon laquelle les avoirs des clients sont intacts. Elle peut en revanche retarder virements et ordres, et c’est précisément ce que la banque française a reconnu pour certains transferts.

Concrètement, il vaut la peine d’examiner les documents contractuels : qui conserve les jetons, le conservateur est-il lui-même supervisé, et pouvez-vous transférer vos avoirs vers votre propre portefeuille ? Toutes les offres bancaires n’autorisent pas le retrait vers une adresse externe. Si l’auto-conservation compte pour vous, clarifiez ce point avant votre premier achat.

Piratage de Binance et attaque contre Arkéa : deux affaires, deux profils d’attaquants

L’affaire Arkéa survient quelques jours seulement après l’attaque contre Binance portant sur 6,3 milliards de dollars, que Decrypt qualifie de plus grand vol de cryptoactifs connu et que le FBI attribue à des pirates nord-coréens. Les deux affaires ont en commun le passage par des infrastructures crypto, mais leur structure diffère nettement.

Chez Binance, l’attaque a frappé directement une plateforme d’échange. Chez Arkéa, en l’état actuel des informations, il s’agit d’un établissement de crédit classique dont les fonds auraient été retirés via des comptes sur des plateformes puis blanchis. Les cryptomonnaies servent ici de véhicule de fuite, pas de cible. Pour les enquêteurs, la différence est notable : la piste commence dans le système bancaire réglementé, avec des données clients complètes, mais se termine dans des réseaux où les identités manquent ou sont masquées.

Se protéger de l’hameçonnage après l’attaque contre Arkéa

Ce qui s’est passé : le 4 novembre 2026, Crédit Mutuel Arkéa a confirmé une cyberattaque ayant permis des opérations frauduleuses. ZachXBT dit suivre plus de 133 millions de dollars qui seraient sortis à partir du 1er novembre via des comptes sur des plateformes crypto et auraient notamment été convertis en Monero ; la banque n’a confirmé aucun montant.

Êtes-vous concerné ? Selon la banque, aucun avoir client n’est touché ; seuls certains virements ont été retardés. Aucun lien avec des clients en Allemagne n’est connu. Arkéa met néanmoins en garde contre l’hameçonnage, et l’expérience montre que ces vagues, après un incident majeur, visent aussi les clients d’autres banques dont les fraudeurs utilisent le nom comme appât.

1. Canal officiel : ne lisez les messages de votre banque que dans l’application bancaire ou sur le site dont vous saisissez vous-même l’adresse, jamais via un lien reçu par courriel ou SMS.
2. Rappel : si quelqu’un se présentant comme votre banque vous appelle, raccrochez et rappelez le numéro figurant sur votre carte bancaire.
3. Lire les validations : ne confirmez dans votre application d’authentification aucun ordre que vous n’avez pas initié, pas même pour un prétendu contrôle de sécurité.
4. Renforcer l’accès : changez les mots de passe réutilisés et utilisez pour vos comptes sur les plateformes l’authentification à deux facteurs par application plutôt que par SMS.
5. Séparer les avoirs : les jetons que vous ne négociez pas sont mieux placés sur votre propre portefeuille matériel que sur un compte de trading, et vous ne communiquez jamais votre phrase de récupération.

Notre guide pour conserver ses cryptos en sécurité explique les bases d’une conservation sûre, et notre comparatif des portefeuilles matériels passe en revue les appareils adaptés.

Garantie des dépôts et cryptoactifs : ce qui est protégé en cas de piratage bancaire

La garantie légale des dépôts protège les avoirs sur comptes courants, comptes d’épargne et dépôts à terme en cas de défaillance d’une banque. Les cryptoactifs n’en relèvent pas, même si vous les avez achetés auprès de votre banque. Un autre mécanisme s’applique : en vertu de MiCA, un prestataire agréé doit détenir les cryptoactifs de ses clients séparément de son propre patrimoine. Si le prestataire fait faillite, les jetons vous appartiennent toujours.

Face à un vol chez le prestataire lui-même, cette séparation n’aide toutefois que dans une mesure limitée. Qu’un prestataire indemnise ou non ses clients après un piratage, et de quelle manière, dépend de ses réserves, de ses assurances et de sa politique commerciale. Dans le cas d’Arkéa, la question ne se pose pas selon la banque, puisque les avoirs des clients seraient restés intacts ; c’est donc le groupe qui supporte le préjudice.

Piratage d’Arkéa : le montant reste inconnu tant que la banque ne publie pas de chiffres

Sont établis l’attaque et l’assurance de la banque que les avoirs des clients sont intacts. Le chiffre de plus de 133 millions de dollars provient pour l’instant du seul ZachXBT, tout comme le reproche de divulgation tardive. L’ampleur réelle du préjudice et la possibilité d’en récupérer une partie dépendent des prochaines informations de la banque et des enquêteurs. Quoi qu’il en soit, trois démarches sont utiles :

1. Vérifiez si la plateforme par laquelle vous achetez des cryptoactifs dispose d’un agrément MiCA, par exemple grâce à notre liste des plateformes crypto réglementées.
2. Pour une offre bancaire, demandez qui conserve vos jetons et si vous pouvez les retirer vers votre propre portefeuille ; la situation chez les Sparkassen et Volksbanken figure dans notre point sur le trading crypto chez Sparkasse.
3. Transférez les avoirs que vous conservez sur le long terme vers votre propre appareil ; les modèles adaptés figurent dans le comparatif des portefeuilles matériels.

(Au 5 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)