Le groupe bancaire français Crédit Mutuel Arkéa a confirmé une cyberattaque au cours de laquelle des virements frauduleux ont transféré des fonds hors du compte propre de l'institution vers des cryptomonnaies via des plateformes spécialisées. L'ampleur totale devrait dépasser 133 millions de dollars.

Crédit Mutuel Arkéa est l'une des grandes banques françaises, avec plus de 12 000 salariés et plus de 5,8 millions de sociétaires et clients. Le groupe affiche un total de bilan de 211,5 milliards d'euros (238,1 milliards de dollars) et possède la filiale en ligne Fortuneo.

Fait notable, l'affaire n'a pas été rendue publique par la banque. L'investigueur on-chain indépendant ZachXBT a révélé le vol début novembre 2026, reconstituant la piste des fonds dérobés sur les blockchains publiques. Arkéa n'a confirmé l'attaque que deux jours plus tard, indiquant avoir maîtrisé l'incident et que les actifs des clients n'étaient pas affectés. ZachXBT a toutefois averti que son estimation de 133 millions de dollars pourrait encore augmenter, l'attaque s'étant déroulée sur plusieurs jours et ayant pu impliquer d'autres transactions de gré à gré (OTC).

Arkéa confirme l'attaque, mais pas le montant

Selon la banque, l'attaque a permis des virements frauduleux depuis le compte propre de l'institution, et les fonds ont ensuite été dirigés vers les cryptomonnaies via des plateformes spécialisées. Cette séquence est remarquable car la piste on-chain était publique avant même que la banque ne publie son communiqué. Pendant deux jours, toute personne ayant accès aux données blockchain pouvait donc retracer les sorties de fonds.

Arkéa n'a validé le chiffre de 133 millions de dollars avancé par ZachXBT qu'en tant qu'ordre de grandeur. La banque a ajouté que le volume des transactions frauduleuses ne correspond pas nécessairement à la perte finale. Une partie des fonds dérobés reste bloquée, mais l'institution indique qu'il est trop tôt pour un chiffre définitif et n'a pas révélé l'ampleur de la part bloquée. En réalité, Arkéa laisse ouverte la question de savoir si le dommage final sera inférieur ou supérieur à l'estimation de l'investigueur.

Selon la banque, les clients n'ont ressenti l'incident que par des retards sur certains virements. Elle avait auparavant suspendu certaines transactions par précaution, et au matin de la confirmation, presque toutes les opérations fonctionnaient à nouveau. Arkéa souligne que ses équipes ont activé les mesures de sécurité nécessaires immédiatement après la découverte afin d'empêcher d'autres mouvements frauduleux.

Rapportée au total de bilan du groupe, la somme en jeu est comparativement modeste : 133 millions de dollars représentent environ 0,06 % des 238,1 milliards de dollars. « Nous pouvons d'ores et déjà affirmer que les montants en cause ne sont en aucune manière susceptibles de remettre en cause la solidité financière et la robustesse du Crédit Mutuel Arkéa », a déclaré la banque.

Comment les fonds sont sortis via les échanges instantanés et Monero

ZachXBT a retracé le chemin des fonds on-chain. Dans un premier temps, une entité européenne non identifiée a retiré plus de 106 millions de dollars de plateformes centralisées. Environ 27 millions de dollars supplémentaires ont suivi plus tard, selon ZachXBT. Le total de plus de 133 millions de dollars provient donc de deux vagues, la seconde étant nettement plus modeste que la première.

L'attaquant a ensuite converti les fonds, notamment de l'USDC en ETH. L'argent est ensuite passé par des échanges instantanés tels que WellWallet et Kyrrex, puis a été transformé en Monero (XMR) via Wagyu. En outre, l'attaquant a utilisé des bridges pour répartir une partie du produit sur plusieurs chaînes. Chacune de ces étapes complique le traçage. Les échanges instantanés gèrent généralement directement des échanges ponctuels entre deux cryptomonnaies, tandis que la conversion en Monero pèse le plus lourd, cette privacy coin masquant les adresses et les montants qui restent visibles au grand jour sur Ethereum.

Une partie des fonds était quasiment hors de portée dès le début. Selon l'appréciation de l'investigueur, plus de 30 millions de dollars se trouvaient déjà au-delà des simples voies de gel, ce qu'il attribue à un signalement tardif aux autorités. L'émetteur de l'USDC, par exemple, peut bloquer des adresses et ainsi geler des soldes, alors qu'Ether ne dispose pas d'un tel gardien. Par conséquent, le dommage final dépend aussi de la part des fonds que la banque a réellement réussi à bloquer.

L'attribution attire l'attention dans les vols de cette ampleur, car le groupe Lazarus, lié à la Corée du Nord, a figuré dans une série de vols majeurs de cryptomonnaies documentés par des évaluations gouvernementales et des Nations unies. ZachXBT s'est également prononcé sur l'identité des responsables de l'attaque. Il a déclaré avoir une « confiance élevée » dans le fait que l'attaquant n'appartient pas au groupe Lazarus nord-coréen. Ni la banque ni l'investigueur n'ont nommé d'auteur jusqu'à présent.

Bitquery mesure plus étroitement que ZachXBT

Les chiffres de pertes en circulation proviennent de deux mesures, et leur addition serait erronée. Le plus élevé vient de ZachXBT, qui évoque plus de 133 millions de dollars et juge possible un chiffre supérieur avec d'autres transactions OTC. Dans ce type d'opérations, deux parties négocient de gré à gré, souvent via des intermédiaires spécialisés et en dehors des carnets d'ordres publics, de sorte qu'elles n'apparaissent pas nécessairement dans les données des plateformes. Les 118 millions d'euros cités dans certains rapports correspondent aux mêmes 133 millions de dollars après conversion et ne constituent pas une mesure distincte.

Le fournisseur de données Bitquery compte quant à lui 108,8 millions de dollars de retraits en USDC depuis des portefeuilles qu'il attribue à Kraken, Crypto.com et OKX. Les fonds sont allés vers 15 adresses dans une fenêtre de mesure d'environ 21 heures entre le 1er et le 2 novembre 2026. En excluant deux adresses liées seulement indirectement, on obtient 95,7 millions de dollars. Le périmètre de chaque comptage explique donc une partie de l'écart, ZachXBT capturant les deux vagues de sorties tandis que la fenêtre de Bitquery est plus étroite.

Le jour de la confirmation, Bitquery voyait encore environ 42,6 millions de dollars dans des portefeuilles Ethereum liés, détenus majoritairement en ETH. Cette partie est au moins visible on-chain. Toutefois, la mesure présente un angle mort : Bitquery ne voit pas les virements bancaires et ne peut donc documenter de manière indépendante le trajet du compte de la banque vers les cryptomonnaies. Le lien entre Arkéa et les portefeuilles repose donc sur la reconstitution de ZachXBT ainsi que sur la déclaration de la banque selon laquelle les fonds ont été dirigés vers les cryptomonnaies. L'institution n'a confirmé aucun de ces chiffres comme montant exact.

La plateforme d'un prestataire de services, point d'entrée suspecté

La banque donne une description succincte du point d'entrée. Selon elle, les attaquants sont entrés dans le système via la plateforme d'un prestataire de services et ont envoyé de l'argent vers d'autres banques. Un point d'entrée de ce type classe l'affaire parmi les compromissions de tiers ou de la chaîne d'approvisionnement, où les attaquants atteignent une institution en ciblant une plateforme externe de sa chaîne opérationnelle. Arkéa n'a pas confirmé si cette voie a également permis la conversion en cryptomonnaies, et les données on-chain ne peuvent précisément pas capturer cette étape. La banque a dénié tout accès via sa filiale en ligne Fortuneo et indique que les attaquants n'ont pas utilisé de comptes clients. Officiellement, la méthode exacte reste donc inexpliquée.

Le dispositif de l'affaire est inhabituel. La victime est la banque elle-même plutôt que des clients individuels ou une plateforme de cryptomonnaies, alors que l'argent est passé par des canaux crypto. Lorsque la victime est la trésorerie propre de l'institution plutôt que les soldes des clients, les questions de sécurité pertinentes portent sur les contrôles de trésorerie et la supervision des plateformes externes. Pour élucider l'origine et le mode opératoire de l'attaque, Arkéa travaille avec les autorités judiciaires et de police. La banque a également mis en garde contre d'éventuelles tentatives de phishing. Outre la méthode, la perte finale et l'ampleur de la part bloquée des fonds restent inconnues.