Cyberattaque du Crédit Mutuel Arkéa : des virements frauduleux, des stablecoins et la course au gel des fonds

Le mercredi 4 novembre 2026, Crédit Mutuel Arkéa, maison mère de Fortuneo et de Suravenir, a annoncé avoir été « victime d’une attaque ayant permis la réalisation d’opérations frauduleuses ». Le groupe assure que ses clients ne subissent « aucune conséquence sur leurs avoirs », hormis des virements différés, sans donner de montant ni de mode opératoire. Trois jours plus tôt, l’enquêteur indépendant ZachXBT avait commencé à suivre sur les blockchains publiques plus de 133 millions de dollars en stablecoins retirés de plateformes d’échange, puis convertis en partie en ether et en monero.

Le récit le plus détaillé de l’attaque, publié par le journaliste Grégory Raymond à partir de sources anonymes et que la banque n’a pas confirmé, décrit des virements émis depuis Fortuneo vers des comptes crypto ouverts sous de fausses identités, au nom exact que les fraudeurs inscrivaient eux-mêmes dans l’ordre de virement. S’il se vérifie, l’affaire montre la limite d’un contrôle bancaire généralisé il y a un an, la vérification du bénéficiaire, et la course qui s’engage ensuite entre le blanchiment et les demandes de gel. Aucune exposition de données personnelles n’est signalée à ce jour, ce qui laisse l’incident hors de notre registre des fuites.

Quatre jours entre les premiers retraits et le communiqué

Les relevés on-chain viennent des messages de ZachXBT sur Telegram et de l’analyse du cabinet Bitquery, reprise par Cryptoast, Cointribune et Actu17.

Date	Événement	Source
1er novembre	Premiers retraits de stablecoins chez OKX puis chez Kraken ; environ 108,8 millions de dollars d’USDC sortent en 21 heures de comptes chez Kraken, Crypto.com et OKX	Bitquery
Nuit du 1er au 2 novembre	Environ 63 millions de dollars de stablecoins échangés contre 27 553 ethers en quatre heures	Bitquery
2 novembre	Alerte sur une entité européenne non nommée qui aurait perdu plus de 106 millions de dollars	ZachXBT
3 novembre	27 millions de dollars de retraits supplémentaires, total porté à plus de 133 millions	ZachXBT
Nuit du 3 au 4 novembre	Crédit Mutuel Arkéa désigné comme la victime	ZachXBT
4 novembre	Communiqué du groupe ; une partie des virements reste suspendue dans la journée	Crédit Mutuel Arkéa

Les 118 millions d’euros cités par plusieurs médias sont la conversion de ce total par Le Télégramme. Le groupe indique seulement que les montants, « encore en cours d’évaluation », ne sont « pas de nature à remettre en cause la solidité et la santé financière du Groupe », et son communiqué ne mentionne ni cryptoactifs, ni plateformes, ni filiale : le rapprochement avec les flux suivis par ZachXBT repose sur l’enquêteur et sur la presse. Le point d’entrée et la date de détection restent inconnus ; selon Le Figaro, cité par Actu17, les sommes détournées seraient des fonds propres de Fortuneo, les dépôts des clients restant intacts.

Un compte au bon nom, que la vérification du bénéficiaire laisse passer

Selon Grégory Raymond (The Big Whale), dont le récit est repris par Cryptoast et Actu17, les fraudeurs ont émis des virements depuis Fortuneo en saisissant eux-mêmes le nom du bénéficiaire. Les comptes de destination, ouverts notamment chez Kraken sous de fausses identités, avaient passé les contrôles d’entrée en relation de la plateforme (le KYC, pour know your customer), et chaque virement portait le nom exact de leur titulaire. Kraken affirme que ses systèmes sont intacts et que ces comptes ont été créés par les fraudeurs. Bitquery privilégie une autre lecture, une intrusion chez les titulaires des comptes crypto, et le point d’entrée dans la banque reste inconnu : une source du journaliste hésite entre une compromission des systèmes de paiement et une faille humaine interne, variante de la fraude au président relevant de l’ingénierie sociale, et penche pour la seconde.

Depuis le 9 octobre 2025, le règlement (UE) 2024/886 impose aux banques de la zone euro de vérifier, avant chaque virement, que le nom du bénéficiaire saisi par le payeur correspond à l’IBAN du compte destinataire. Le contrôle répond par une concordance exacte, une concordance partielle, une absence de concordance ou une impossibilité de vérifier, et il vise d’abord les erreurs de saisie et les détournements par changement d’IBAN. Un compte ouvert sous le nom même que le fraudeur inscrit dans l’ordre de virement obtient une concordance exacte : la vérification confirme alors que le nom et l’IBAN vont ensemble, sans rien dire de la légitimité du bénéficiaire.

Le risque se déplace donc vers l’ouverture du compte de destination. Les sources ne précisent pas si les identités employées ont été inventées ou empruntées à des personnes réelles, ce qui relèverait de l’usurpation d’identité. Les copies de pièces d’identité et les selfies de vérification qui permettent de franchir un KYC circulent après certaines fuites, comme celle de Revolut en septembre 2026 ; aucun lien n’est établi entre ces fuites et l’affaire Arkéa.

Convertir avant le gel : le choix de l’ether et du monero

L’USDC et l’USDT ont des émetteurs, Circle et Tether, capables de geler les jetons détenus à une adresse : Circle l’a fait en 2022 pour les portefeuilles de Tornado Cash sanctionnés par le Trésor américain. L’ether n’a pas d’émetteur, et le monero est conçu pour masquer les montants et les adresses. En convertissant environ 63 millions de dollars en ether en quatre heures, dans la nuit du 1er au 2 novembre, puis en faisant transiter des fonds par des services d’échange instantané (WellWallet, Kyrrex), par Wagyu vers le monero et par plusieurs blockchains, les auteurs ont soustrait cette part des fonds à un gel par Circle ou par Tether.

Kraken a restreint des comptes liés à l’affaire, en commençant à geler des fonds dans la nuit du 2 au 3 novembre selon une source d’Actu17, et Crypto.com a bloqué des fonds, sans montant communiqué. ZachXBT relève qu’une partie des 27 millions de dollars de retraits supplémentaires est sortie après sa première alerte, et attribue à l’absence de déclaration d’incident en bonne et due forme le blanchiment de plus de 30 millions de dollars que les forces de l’ordre européennes auraient, selon lui, pu geler. Il écarte aussi, d’après les méthodes de blanchiment observées, une implication du groupe nord-coréen Lazarus.

À qui la banque doit-elle déclarer l’attaque, et dans quel délai ?

Le groupe dit s’être rapproché « des instances compétentes et de supervision » dès la détection, et Le Télégramme rapporte que la Banque de France a été informée. Le règlement DORA impose à une banque de déclarer ses incidents majeurs liés aux technologies de l’information et de la communication à l’ACPR, qui transmet la déclaration à la Banque centrale européenne pour les établissements placés sous sa supervision directe : notification initiale dans les quatre heures suivant la classification de l’incident comme majeur, et au plus tard 24 heures après en avoir eu connaissance. Les montants évoqués dépassent largement le seuil de 100 000 euros du critère des conséquences économiques, l’un de ceux qui servent à qualifier un incident de majeur, mais la classification retenue et sa date restent inconnues.

Cette déclaration, confidentielle, s’adresse au superviseur. La critique de ZachXBT vise l’alerte aux forces de l’ordre européennes, qui auraient selon lui pu geler une partie des fonds ; le communiqué n’évoque pas de plainte, et le parquet restait silencieux dans l’après-midi du 4 novembre selon le Journal du Coin. Si l’enquête établissait par ailleurs un accès aux données de clients, une notification de violation à la CNIL sous 72 heures, au titre de l’article 33 du RGPD, s’ajouterait à la déclaration DORA.

Virements d’entreprise et hameçonnage : les parades recommandées

Pour une entreprise qui émet des virements, la vérification du bénéficiaire contrôle seulement, selon Service-public.fr, que le nom saisi « correspond bien à l’IBAN du compte destinataire » ; la légitimité de la demande de paiement reste à établir par l’entreprise elle-même. Si la piste de la fraude au président se confirme, les recommandations de la fiche que la CNIL consacre au faux ordre de virement s’appliquent directement :

• confirmer tout paiement inhabituel et tout changement de coordonnées bancaires en appelant un contact déjà connu, sans utiliser les coordonnées figurant dans le message reçu ;
• tenir à jour la liste des contacts des fournisseurs et des clients, et inscrire ces vérifications dans des procédures écrites rappelées régulièrement au personnel ;
• activer la double authentification sur les messageries et surveiller les noms de domaine proches de celui de l’entreprise, qui servent à se faire passer pour un dirigeant ou un fournisseur.

La CNIL relève aussi que les fraudeurs préparent leur attaque à partir des informations publiées sur l’organisation, de son organigramme à ses offres d’emploi et à ses relations avec ses clients et fournisseurs.

Du côté des particuliers, Arkéa a averti ses clients que des tentatives d’hameçonnage étaient possibles après l’attaque. Le groupe leur demande de ne jamais communiquer identifiant, mot de passe, numéro de carte bancaire ou code de validation reçu par SMS, et de contacter directement leur conseiller pour vérifier un message en cas de doute.

Les fraudes qui s’appuient sur le contexte d’un incident plutôt que sur des données bancaires font l’objet de notre analyse « Aucune donnée bancaire n’a été exposée », et les obligations de détection issues de DORA sont détaillées dans notre article sur la gestion des événements de sécurité. Cet article sera mis à jour lorsque le groupe précisera le montant, la filiale concernée et le mode opératoire.

Sources et références 18 sources

Sources officielles

1. [1] Crédit Mutuel Arkéa : Crédit Mutuel Arkéa annonce avoir été victime d'une attaque (communiqué de presse, 4 novembre 2026)
2. [2] Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), EUR-Lex
3. [3] Règlement délégué (UE) 2024/1772 du 13 mars 2024, classification des incidents liés aux TIC (EUR-Lex)
4. [4] Règlement délégué (UE) 2025/301 du 23 octobre 2024, notification des incidents majeurs (EUR-Lex)
5. [5] Règlement (UE) 2024/886 sur les virements instantanés en euros (EUR-Lex)
6. [6] Service-public.fr : vérification du bénéficiaire avant chaque virement à partir du 9 octobre 2025 (actualité du 29 septembre 2025)
7. [7] CNIL : le faux ordre de virement international ou « fraude au président » (La violation du trimestre, 9 avril 2021)

Enquête on-chain

1. [8] ZachXBT, chaîne Telegram Investigations : alerte initiale sur une entité européenne (message 372, 2 novembre 2026)
2. [9] ZachXBT : 27 millions de dollars de retraits supplémentaires, total supérieur à 133 millions (message 374, 3 novembre 2026)
3. [10] ZachXBT : désignation de Crédit Mutuel Arkéa (message 375, 4 novembre 2026)

Presse

1. [11] The Block (Danny Park) : Crédit Mutuel Arkéa identifiée par ZachXBT comme la victime d'un vol de plus de 133 millions de dollars (3 novembre 2026)
2. [12] France 3 Bretagne : virements bloqués, plus de 100 millions de dollars dérobés, cryptomonnaies, ce qu'il faut savoir sur l'attaque informatique visant le Crédit Mutuel Arkéa (4 novembre 2026)
3. [13] Actu17 : Crédit Mutuel Arkéa, comment des pirates ont fait sortir plus de 118 millions d'euros de Fortuneo (4 novembre 2026)
4. [14] Cryptoast : Crédit Mutuel Arkéa, la banque française victime d'un piratage massif, des fonds volés (4 novembre 2026)
5. [15] Cointribune, via TradingView : Crédit Mutuel Arkéa, hack confirmé, 133 M$ selon ZachXBT (4 novembre 2026)
6. [16] Clubic : Fortuneo victime d'une fraude ? Les clients à l'abri, mais des millions d'euros auraient été détournés (4 novembre 2026)
7. [17] Journal du Coin : cyberattaque Crédit Mutuel Arkéa, la banque confirme, la presse désigne Fortuneo (4 novembre 2026)
8. [18] The Block : Circle freezes USDC funds in Tornado Cash's US Treasury-sanctioned wallets (août 2022)