La cyberattaque Crédit Mutuel Arkéa a permis de détourner environ 100 millions d’euros. La banque a publié cette estimation provisoire le mercredi 4 novembre 2026 au soir. Les fonds, sortis de son propre compte puis convertis en cryptomonnaies, ont été en partie bloqués.
En fin de matinée, Arkéa ne confirmait que l’ordre de grandeur des montants évoqués. L’enquêteur ZachXBT avançait 133 millions de dollars, une piste que CrypCool retraçait le 4 novembre. Au cours de référence de la BCE du 3 novembre, ce chiffre équivalait à près de 119 millions d’euros. L’estimation de la banque reste inférieure d’une vingtaine de millions, sans explication à ce stade.
Un prestataire comme porte d’entrée
Les attaquants n’ont touché aucun compte de client. Ils sont passés par la plateforme d’un prestataire pour atteindre directement Arkéa, selon la banque citée par franceinfo. Ils ont ensuite viré l’argent du compte de la banque vers d’autres établissements. La conversion en cryptomonnaies n’intervient qu’en bout de chaîne. Arkéa écarte toute erreur humaine et décrit une attaque sophistiquée venue de l’extérieur. Le prestataire n’est pas nommé.
Les clients épargnés, une enquête ouverte
Les avoirs des clients ne subissent aucune conséquence, assure Arkéa. L’incident a seulement retardé certains virements, suspendus par précaution. Le parquet de Paris a ouvert une enquête dès réception de la plainte, mercredi matin. Elle vise une atteinte en bande organisée à un système de traitement automatisé de données. L’Office anticybercriminalité mène les investigations. Arkéa a par ailleurs avisé la Banque de France, selon Le Télégramme cité par l’AFP.
Cyberattaque Crédit Mutuel Arkéa : les plateformes, dernier filet
Crypto.com a confirmé à CoinDesk avoir bloqué les fonds liés à l’incident qui transitaient par ses services. Kraken a de son côté restreint des comptes, selon Cointelegraph. Aucun montant gelé n’a été rendu public. Ces plateformes doivent identifier leurs clients et signaler les opérations suspectes. Depuis le 30 décembre 2024, le règlement européen 2023/1113 les oblige aussi à transmettre l’identité du donneur d’ordre et du bénéficiaire de chaque transfert de cryptoactifs. Cette traçabilité ne couvre pas les transferts entre portefeuilles personnels, où aucun intermédiaire ne peut bloquer les fonds.
L’ether pour échapper au gel
L’USDC, un stablecoin indexé sur le dollar, peut être gelé à distance par son émetteur, Circle. L’ether n’offre pas cette prise. L’essentiel des fonds a été converti en ether, d’après CoinDesk, et une partie en Monero, une cryptomonnaie conçue pour masquer les transactions. Le voleur détenait encore environ 30 200 ethers le 2 novembre, selon Bitquery. Leur revente progressive ajouterait une offre à absorber pour le cours de l’ether, une semaine après le piratage de Binance.
DORA place les prestataires sous surveillance
Le règlement européen DORA s’applique aux banques depuis le 17 janvier 2025. Son article 28 leur impose une stratégie face aux risques liés à leurs prestataires informatiques, réexaminée régulièrement. L’affaire Arkéa met ce dispositif à l’épreuve : la faille venait d’un tiers, la perte frappe la banque. Les seuls blocages revendiqués à ce jour par un intermédiaire viennent pourtant de plateformes de cryptomonnaies.