Arkéa : ce que révèle le parcours des fonds dérobés
7 novembre 2026Le Crédit Mutuel Arkéa a confirmé une cyberattaque ayant permis des opérations frauduleuses sur ses propres comptes. Le montant de 118 millions d’euros, soit environ 133 millions de dollars, circule dans les analyses publiques. La banque en valide l’ordre de grandeur, tout en précisant que l’évaluation reste en cours. Une partie des fonds a pu être bloquée et des démarches de récupération se poursuivent : le montant évoqué ne correspond donc pas nécessairement à une perte définitive.
Selon l’établissement, les attaquants sont passés par la plateforme d’un prestataire pour atteindre Arkéa directement. La banque dément une entrée par Fortuneo et indique que les comptes clients n’ont pas servi à réaliser ces opérations. Certaines transactions ont été temporairement suspendues pour sécuriser la reprise.
Le suivi devient plus difficile au fil des conversions
L’enquêteur blockchain ZachXBT a signalé l’affaire avant l’annonce publique de la banque. Ses analyses, relayées par la presse spécialisée, décrivent des mouvements via des stablecoins comme l’USDC et l’USDT, puis des échanges vers d’autres actifs, dont le Monero. Les services UniswapX et Kyrrex apparaissent dans les circuits rapportés. Ces observations restent à distinguer de ce que la banque confirme sur l’intrusion initiale.
Les mouvements visibles sur une blockchain peuvent permettre de suivre une partie du parcours. Les conversions, les services intermédiaires et le passage entre plusieurs réseaux compliquent ensuite la reconstitution. Voir une transaction ne suffit pas à identifier la personne qui la contrôle. Il faut aussi déterminer quels intermédiaires peuvent encore bloquer des fonds et dans quelles conditions.
Une accusation de retard, pas un aveu de la banque
ZachXBT estime qu’un signalement plus rapide aurait permis de geler plus de 30 millions de dollars. C’est une appréciation de l’enquêteur, et non une somme dont Arkéa reconnaît avoir empêché la récupération. La banque affirme avoir prévenu les instances compétentes après détection. Sa communication publique ne donne pas une chronologie suffisante pour trancher ce désaccord.
Le cadre DORA lie les obligations de notification à la prise de connaissance de l’incident et à sa qualification. La date d’un communiqué de presse ne prouve donc pas celle d’un signalement réglementaire. Pour les clients, Arkéa indique que les avoirs ne sont pas affectés et appelle à la vigilance face à l’hameçonnage. Un message prétendant aider à vérifier un compte après cette attaque ne justifie jamais de transmettre un mot de passe ou un code de validation.
Sources : Crédit Mutuel Arkéa · EUR-Lex.
Sources
À très vite sur l’EternoStation.
