Le piratage du Crédit Mutuel Arkéa dépasserait 133 millions de dollars, selon l’enquêteur ZachXBT, qui a nommé la banque le mercredi 4 novembre 2026. Le butin, des stablecoins, est sorti de comptes ouverts chez Kraken, Crypto.com et OKX. Arkéa n’a ni confirmé ni démenti.
De 106 à 133 millions de dollars en trois jours
ZachXBT piste les fonds volés sur les blockchains. Lundi 2 novembre, il signalait 106 millions de dollars de retraits suspects au détriment d’une « institution financière européenne ». Mardi, 27 millions supplémentaires portaient son estimation au-delà de 133 millions. Une partie a été retirée après sa première alerte. Il a livré le nom de la banque sur son canal Telegram mercredi à 3 h 24, heure de Paris. Il juge le montant réel plus élevé, car une partie des fonds a pu être écoulée de gré à gré.
Des comptes et des portefeuilles déjà en service
La société d’analyse Bitquery a retracé 108,8 millions de dollars en USDC, un stablecoin indexé sur le dollar. Ils ont quitté les trois plateformes à partir du dimanche 1er novembre. Quinze portefeuilles les ont reçus en 21 heures, dont 95 % versés par Kraken. Onze d’entre eux recevaient déjà des paiements de ces plateformes, depuis mai pour le plus ancien. Le voleur détenait donc vraisemblablement les accès aux comptes et les clés de portefeuilles de la victime, selon Bitquery. Kraken et Crypto.com ont restreint des comptes ou bloqué des fonds, d’après Cointelegraph. Les deux plateformes assurent ne pas avoir été compromises.
L’USDC changé en ether avant tout gel
Circle, l’émetteur de l’USDC, peut geler ses jetons à n’importe quelle adresse. L’ether n’offre pas cette prise. Le voleur a échangé 63 millions de dollars contre 27 553 ethers en quatre heures. Il a ensuite converti une partie des fonds en Monero, une cryptomonnaie conçue pour rendre les transactions intraçables. Le 2 novembre, seuls 3,7 millions de dollars restaient en USDC. Ce jeton domine pourtant les échanges de stablecoins contre euros depuis MiCA, avec 56 % en septembre. ZachXBT écarte la piste nord-coréenne « avec un haut degré de confiance ».
Piratage Crédit Mutuel Arkéa : ce que prévoit DORA
ZachXBT accuse la victime d’avoir étouffé l’affaire. Selon lui, ce retard a permis au voleur de mettre hors d’atteinte plus de 30 millions de dollars qui auraient pu être gelés. Le règlement européen DORA encadre ce point. Une banque doit notifier un incident informatique majeur à son superviseur dans les 24 heures suivant sa détection, selon le règlement délégué 2025/301. Le report au jour ouvré suivant, permis les week-ends et jours fériés, ne s’applique pas aux banques. Le premier retrait a eu lieu le dimanche de la Toussaint. Une détection ce jour-là imposait une notification au plus tard lundi. Cette déclaration n’est pas publique. Le silence d’Arkéa ne prouve donc ni un manquement ni une dissimulation.
Un dossier MiCA déposé en mai
Le groupe affichait 211,6 milliards d’euros de bilan fin 2025 pour 5,64 millions de clients, selon son communiqué de résultats annuels. Ce document ne mentionne aucune détention de cryptomonnaies pour compte propre. Arkéa a déposé en mai un dossier pour proposer des services sur cryptoactifs, selon L’Agefi. Une banque n’a pas besoin de l’agrément exigé des plateformes. L’article 60 du règlement MiCA lui impose une notification à son superviseur, quarante jours ouvrables avant de démarrer.
Près de 119 millions d’euros
La BCE a fixé le 3 novembre son cours de référence à 1,1179 dollar pour un euro. À ce cours, le préjudice avancé atteint près de 119 millions d’euros. Il représente plus du quart du résultat net 2025 du groupe, 450 millions d’euros.
L’épargne des clients hors de cause à ce stade
Rien n’indique que l’épargne des clients de Fortuneo ou du Crédit Mutuel de Bretagne soit touchée. Les retraits partent de comptes ouverts sur des plateformes, non de dépôts bancaires. Ces comptes pouvaient appartenir à Arkéa ou à un prestataire travaillant pour elle. Le mode d’accès des attaquants reste inconnu.
Un stock d’ether à écouler
Le voleur détenait encore environ 30 200 ethers le 2 novembre, d’après Bitquery, soit près de 69 millions de dollars. Leur revente pèserait sur le cours de l’ether, déjà le plus exposé après le piratage de Binance du 29 octobre. Si l’identification se confirme, Arkéa devra expliquer pourquoi elle laissait de tels montants sur des plateformes. Elle devra aussi dire comment les retraits ont échappé à ses contrôles. L’affaire relance la question de la garde des cryptomonnaies par un tiers, alors que les banques françaises se préparent à en vendre à leurs clients.