France : Crédit Mutuel Arkéa visé par un vol crypto de 133 millions $, selon ZachXBT
11/04/2026Silence breton. Depuis lundi, l’enquêteur on-chain ZachXBT traquait une « institution financière européenne » délestée de 106 millions de dollars en stablecoins. Il a mis un nom dessus sur Telegram ce mercredi à 3h24 heure de Paris. La maison mère de Fortuneo et de Suravenir aurait été « exploitée pendant plusieurs jours » pour plus de 133 millions de dollars. La banque n’a pas réagi et la facture pourrait encore grimper.
- Une enquête a révélé que le Crédit Mutuel Arkéa a été victime d’une exploitation financière de plus de 133 millions de dollars en stablecoins.
- Le processus de blanchiment de l’argent volé a été sophistiqué, impliquant des échanges sur plusieurs plateformes et une conversion partielle en Monero.
Crédit Mutuel Arkéa : 211 milliards d’euros de bilan et un trou de 133 millions de dollars
Le message tient en quatre lignes, publié sur son canal Telegram :
« Mise à jour 2 : je révèle que l’institution financière européenne exploitée pour plus de 133 millions de dollars serait le Crédit Mutuel Arkéa, une banque française qui détient 235 milliards de dollars d’actifs.
L’attaque contre la banque s’est déroulée sur plusieurs jours. Je soupçonne que le montant volé est plus élevé si l’on tient compte de l’activité OTC. »
ZachXBT sur Telegram, 4 novembre 2026 (traduction JDC)
L’activité OTC désigne les ventes de gré à gré, qui n’apparaissent pas dans les carnets d’ordres des plateformes. Le chiffre de 235 milliards colle d’ailleurs : le groupe affichait 211,6 milliards d’euros de total de bilan fin 2025, pour 5,64 millions de clients et 450 millions d’euros de résultat net.
Pourquoi une banque mutualiste du Finistère détiendrait-elle 133 millions de dollars de stablecoins sur des exchanges ? Personne ne le sait encore. Crédit Mutuel Arkéa a déposé en mai une demande d’agrément MiCA (le règlement européen sur les cryptoactifs) pour proposer des services crypto à ses clients et en marque blanche via Arkéa Banking Services, selon L’Agefi. Son communiqué de résultats 2025 ne mentionne aucune détention de cryptoactifs pour compte propre.
Le parcours des 133 millions de Kraken à Monero
Le détail vient de Bitquery. Le premier retrait part d’OKX le 1er novembre à 12h25 UTC, le suivant de Kraken 44 minutes plus tard. Bitquery détaille 108,8 millions de dollars en USDC sortis de Kraken, Crypto.com et OKX vers quinze wallets en 21 heures. Kraken concentre près de 95 % du total et 178 retraits. À 23h10 UTC, 98 % avaient déjà filé. ZachXBT a ensuite ajouté 27 millions de dollars de retraits, dont une partie postérieure à sa première alerte.
La suite ressemble à un manuel de blanchiment. Dans la nuit du 1er au 2 novembre, le pirate échange 63 millions de dollars de stablecoins contre 27 553 ETH via UniswapX, à 2 286 dollars l’unité. Ensuite, une partie file vers des échangeurs instantanés comme Kyrrex ou WellWallet. Il en convertit une autre en Monero via Wagyu.
Au 2 novembre à 13h47 UTC, il restait 78 millions de dollars identifiables sur la chaîne, dont 3,7 millions d’USDC que Circle peut geler.
Kraken et Crypto.com ont indiqué à Cointelegraph avoir restreint des comptes ou bloqué des fonds liés au vol présumé. Les deux plateformes assurent ne pas avoir subi d’intrusion. Enfin, ZachXBT écarte la piste nord-coréenne « avec un haut degré de confiance ».
Une banque française dans le noir et personne au guichet
ZachXBT écrivait dès mardi matin que l’affaire était « étouffée » et que l’absence de communication avait laissé filer plus de 30 millions de dollars qui auraient pu être gelés. Vingt-quatre heures plus tard, ni la banque ni ses superviseurs n’avaient publié une ligne. Le règlement européen DORA impose pourtant aux banques de notifier un incident informatique majeur à leur autorité de contrôle au plus tard 24 heures après l’avoir détecté. Cointelegraph et The Block ont sollicité Arkéa sans réponse. Aucun média français généraliste n’avait repris l’information mercredi à 6h.
Pour les clients de Fortuneo ou du Crédit Mutuel de Bretagne, rien n’indique à ce stade que le vol touche l’épargne des particuliers. En effet, les retraits partent de comptes ouverts chez des exchanges, pas de livrets ni de dépôts bancaires. Ils peuvent appartenir à Arkéa en direct ou à un prestataire qui opérait pour elle. On ignore tout autant le mode d’intrusion. Le premier retrait date du 1er novembre, la première alerte publique du 2, et le nom de la banque du 4.
Le vol s’ajoute à une année où les piratages avaient déjà dépassé 2,8 milliards de dollars avant le casse de Binance à 6,3 milliards. Arkéa publie habituellement ses résultats annuels en février. D’ici là, une banque qui demande l’agrément MiCA pour vendre de la crypto à 5,6 millions de clients devra expliquer comment elle protège la sienne.
L’article France : Crédit Mutuel Arkéa visé par un vol crypto de 133 millions $, selon ZachXBT est apparu en premier sur Journal du Coin.
