Crédit Mutuel Arkéa : comment l'argent est sorti, et comment les pirates ont pu entrer

Ce que la banque confirme

Dans ses communiqués du 4 novembre 2026, le Crédit Mutuel Arkéa décrit une attaque informatique venue de l'extérieur. Les pirates sont passés par la plateforme d'un prestataire, sans passer par des comptes de clients, puis ont envoyé des virements frauduleux depuis un compte propre du groupe vers d'autres banques. Selon la banque, les avoirs des clients ne sont pas touchés et sa solidité n'est pas menacée. Une partie des fonds est bloquée et le recouvrement se poursuit.

Le montant reste ouvert. La banque ne valide qu'un ordre de grandeur. La presse parle de 118 millions d'euros, l'enquêteur ZachXBT de plus de 133 millions de dollars. Le parquet de Paris a ouvert une enquête, confiée à l'Office anticybercriminalité.

Comment l'argent a été rendu difficile à suivre

La banque évoque seulement une conversion possible en cryptomonnaies. Le détail vient d'analyses de la blockchain, qu'elle ne confirme pas. Les fonds seraient d'abord sortis en USDC et en USDT. Bitquery décrit ensuite environ 63 millions de dollars changés en 27 553 ether en quatre heures, principalement par le protocole UniswapX. ZachXBT signale aussi des conversions en Monero, sans montant, et affirme que plus de 30 millions de dollars étaient déjà blanchis au moment des annonces.

• Les stablecoins peuvent être gelés par leur émetteur. L'ether et le Monero n'ont pas d'émetteur capable de le faire. Changer de jeton change donc ce qu'un enquêteur peut bloquer.
• Une transaction publique reste traçable, mais tracer ne veut pas dire récupérer, comme le rappelle le consultant Frédéric Ocana.
• Les ponts entre blockchains et les mixeurs font partie du parcours habituel. Cryptoast mentionne des ponts dans cette affaire. Aucune source ne signale de mixeur.

Trois hypothèses sur l'entrée

La banque ne nomme pas son prestataire et ne décrit pas la méthode. Elle écarte une erreur humaine, sans préciser si cette réponse couvre aussi le prestataire. Les trois pistes suivantes ne sont pas confirmées pour Arkéa, et aucun lien n'est établi avec les affaires citées.

• Des identifiants volés. Un poste infecté livre les accès d'un employé. La piste circule sur les réseaux, la banque ne la confirme pas. Binance rapporte qu'un ingénieur a téléchargé un exercice de code piégé après de faux entretiens d'embauche.
• Un outil corrompu. La plateforme elle-même est modifiée, et la banque reçoit des ordres d'une source reconnue. Chez Bybit en 2025, un fichier remplacé sur le site de son fournisseur Safe a précédé une perte d'environ 1,5 milliard de dollars.
• Un accès vendu. Selon la police brésilienne, en 2025, un employé du prestataire C&M Software aurait vendu son accès pour environ 2 770 dollars. Environ 140 millions de dollars ont ensuite quitté les comptes de réserve de six établissements. Le rapprochement avec Arkéa est le nôtre.

Ce que vous pouvez faire

La banque met ses clients en garde contre le hameçonnage après cette affaire. Si quelqu'un se présente comme votre conseiller pour sécuriser votre compte, raccrochez et rappelez le numéro habituel de votre agence.