Fraude chez Crédit Mutuel Arkéa : ce qui est établi, ce qui est déclaré, ce que peuvent faire les victimes

Dimanche 1er novembre, à 12 h 25 (UTC), un premier retrait part d’un compte ouvert chez OKX. En vingt et une heures, plus de cent millions de dollars en stablecoins quittent trois plateformes d’échange. Selon les premières reconstitutions, ces comptes avaient passé les contrôles d’identité, et les virements bancaires qui les alimentaient portaient le nom exact de leur titulaire. Mercredi, Crédit Mutuel Arkéa a confirmé une attaque. La fraude n’aurait contourné aucun contrôle : elle les aurait tous passés.

L’essentiel

• Le 4 novembre 2026, Crédit Mutuel Arkéa a confirmé une attaque informatique ayant permis « la réalisation d’opérations frauduleuses ». Elle affirme que ses clients ne subissent aucune conséquence financière et ne donne aucun montant.
• Selon l’enquêteur on-chain ZachXBT, plus de 133 millions de dollars (environ 118 millions d’euros) ont été retirés en stablecoins puis blanchis, en partie via le Monero. Ce chiffre n’est pas confirmé par la banque.
• La vérification du bénéficiaire contrôle qu’un nom concorde avec un IBAN, pas que la personne existe. Un compte ouvert sous une fausse identité la passe.
• Les faits relèveraient de l’escroquerie ou du piratage selon le mode opératoire, puis du blanchiment : jusqu’à dix ans d’emprisonnement en bande organisée.
• Un client qui découvre une opération non autorisée doit la signaler sans tarder, et au plus tard dans les treize mois du débit. La banque doit le rembourser au plus tard à la fin du premier jour ouvrable suivant.

Que s’est-il passé chez Crédit Mutuel Arkéa ?

Selon la société d’analyse Bitquery, environ 108,8 millions de dollars en USDC, un stablecoin indexé sur le dollar, ont été retirés en vingt et une heures de comptes ouverts chez Kraken, Crypto.com et OKX¹. L’enquêteur on-chain ZachXBT a porté son estimation à plus de 133 millions de dollars, puis désigné Crédit Mutuel Arkéa dans la nuit du 3 au 4 novembre².

Le 4 novembre, la banque a confirmé une attaque ayant permis « la réalisation d’opérations frauduleuses », un incident « aujourd’hui maîtrisé » et « aucune conséquence financière » pour ses clients³. Elle n’a commenté ni le montant ni le mode opératoire.

Le même jour, le journaliste Grégory Raymond a publié une reconstitution à partir de sources non nommées : Fortuneo, la banque en ligne du groupe, aurait été visée, et ses virements auraient alimenté des comptes de plateformes ouverts sous des identités falsifiées⁴.

Chronologie de la fraude

Qu’est-ce qui est établi, qu’est-ce qui n’est que déclaré ?

Premièrement, l’élément matériel est sur la blockchain. Les retraits, les conversions et les adresses sont publics et vérifiables par quiconque ; ils sont rapportés ici d’après les analyses de Bitquery et de ZachXBT. Mais la blockchain ne dit pas à qui appartenaient ces fonds. Le lien avec Crédit Mutuel Arkéa repose sur l’affirmation de ZachXBT, qui n’a pas publié ses éléments.

Deuxièmement, la confirmation de l’attaque est une déclaration contre l’intérêt de la banque, et à ce titre elle pèse. Le reste de son communiqué est d’une autre nature : que l’incident soit maîtrisé et que les clients soient épargnés, ce sont ses affirmations, que rien ne permet encore de contrôler.

Troisièmement, le circuit bancaire repose sur des sources anonymes, et il a évolué en une journée : le premier post de Grégory Raymond évoquait des comptes « mules », le second des identités falsifiées⁴. Le point d’entrée reste inconnu : une source avance une compromission des systèmes de paiement ou, plus probable selon elle, une faille humaine interne. Aucune autorité n’a attribué les faits.

Comment la fraude a-t-elle passé les contrôles ?

Si la reconstitution se confirme, les contrôles ont fonctionné exactement comme prévu, sur de fausses prémisses.

Premièrement, la vérification du bénéficiaire ne vérifie pas que le bénéficiaire existe. Depuis le 9 octobre 2025, en application du règlement (UE) 2024/886, les banques doivent vérifier, avant un virement, que le nom saisi correspond au titulaire de l’IBAN⁶. Si le compte de destination a été ouvert sous une fausse identité et que le virement porte ce faux nom, le contrôle répond que tout concorde. Il a raison.

Deuxièmement, le contrôle d’identité des plateformes vérifie des documents. Les plateformes agréées sont assujetties aux obligations de lutte contre le blanchiment (article L. 561-2, 7° bis, du code monétaire et financier). Selon les sources de Grégory Raymond, les identités utilisées étaient assez solides pour passer ce contrôle⁴. La banque et la plateforme auraient donc validé, chacune de son côté, deux mensonges cohérents entre eux.

Reste la question que pose Grégory Raymond : comment des virements de cette ampleur ont-ils pu sortir pendant plusieurs jours sans déclencher d’alerte ?

Piratage, escroquerie, blanchiment : quelles infractions ?

La qualification dépend du mode opératoire, qui n’est pas connu.

Si une personne a été trompée, par exemple un salarié amené à exécuter de faux ordres de virement, les faits relèveraient de l’escroquerie : tromper une personne, notamment par l’usage d’un faux nom, pour la déterminer à remettre des fonds. Elle est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du code pénal), et de dix ans et un million d’euros en bande organisée (article 313-2).

Si les systèmes de paiement ont été compromis, les faits relèveraient des atteintes aux systèmes informatiques. L’introduction frauduleuse de données dans un système, par exemple de faux ordres de paiement, est punie de cinq ans et 150 000 euros (article 323-3), et de dix ans et 300 000 euros en bande organisée (article 323-4-1).

Dans les deux cas, la suite relève du blanchiment : apporter un concours à la conversion du produit d’un délit est puni de cinq ans et 375 000 euros (article 324-1), et de dix ans et 750 000 euros en bande organisée (article 324-2). Depuis le 15 juin 2025, l’article 324-1-1 présume l’origine illicite des fonds lorsque l’opération ne peut avoir d’autre justification que de la dissimuler, et vise expressément les crypto-actifs à fonction d’anonymisation intégrée. Le Monero en est l’exemple type.

Pourquoi les fonds n’ont-ils pas été gelés à temps ?

Le gel n’existe que tant que les fonds restent sur un actif gelable. Un émetteur peut bloquer des USDC ou des USDT, une plateforme peut bloquer un compte : Kraken et Crypto.com déclarent l’avoir fait⁵. Une fois les fonds passés en ether puis en Monero, plus personne ne tient le robinet.

Or une plateforme ne gèle pas sur une rumeur. Selon une source de Grégory Raymond, faute de confirmation officielle par la banque, les plateformes et les émetteurs n’auraient pas pu bloquer les fonds à temps⁴. ZachXBT estime que plus de 30 millions de dollars auraient pu être gelés². C’est une déclaration anonyme et une estimation, mais elles décrivent un mécanisme que connaît tout praticien.

C’est la plainte, déposée sans attendre, qui ouvre la voie aux mesures contraignantes : dès l’enquête, le juge des libertés et de la détention, saisi par le procureur, peut ordonner la saisie des crypto-actifs (article 706-153 du code de procédure pénale). Encore faut-il que le parquet soit saisi avant que les fonds ne bougent. Ici, 63 millions de dollars ont été convertis en quatre heures.

Clients de Fortuneo et d’Arkéa : vos droits

La banque affirme que ses clients ne subissent aucune conséquence financière. Contrôlez néanmoins vos relevés : si une opération que vous n’avez pas autorisée apparaît, la loi vous protège.

Premièrement, signalez-la sans tarder, et au plus tard dans les treize mois suivant le débit, sous peine de forclusion (article L. 133-24 du code monétaire et financier). Pour une opération débitée le 2 novembre 2026, la date limite est le 2 décembre 2027.

Deuxièmement, la banque doit vous rembourser au plus tard à la fin du premier jour ouvrable suivant votre signalement (article L. 133-18). Elle ne peut refuser que si elle soupçonne une fraude de votre part et en informe par écrit la Banque de France. Tout retard fait courir des intérêts au taux légal majoré de cinq à quinze points.

Conservez vos relevés et des captures datées de votre espace client.

Faux conseiller : l’arnaque qui suit

Le scénario est déjà signalé : un faux conseiller appelle, parfois depuis un numéro qui s’affiche comme celui de l’agence, invoque l’attaque et demande de valider une opération « pour bloquer » une fraude ou de transférer son épargne vers un compte « sécurisé »⁷. En validant, la victime autorise un paiement au profit de l’escroc.

Une banque ne vous demande jamais de valider une opération par téléphone pour en annuler une autre. En cas de doute, raccrochez et rappelez le numéro figurant sur votre carte. Si vous avez validé, faites opposition, signalez l’opération par écrit et déposez plainte dans l’heure : la banque soutiendra que l’opération était autorisée, et ce débat se prépare dès les premiers écrits.

Votre identité ou votre compte a-t-il servi ?

Si les identités utilisées ont été usurpées à des personnes réelles, celles-ci seront désignées comme titulaires de comptes ayant reçu des millions, et entendues. Si des comptes de « mules » ont servi, leurs titulaires s’exposent à des poursuites pour blanchiment, avec la présomption de l’article 324-1-1. Dans les deux cas, une convocation ne se traite pas comme une formalité : la défense se prépare avant la première audition.

Ce que le cabinet peut faire pour vous

Le cabinet intervient en matière de fraude financière, de cybercriminalité et de crypto-actifs, aux côtés des personnes lésées comme en défense.

Premièrement, pour les entreprises victimes d’une fraude au virement ou d’une intrusion : plainte dans les premières heures, traçage des fonds, demandes de gel auprès des plateformes et des émetteurs, requêtes en saisie, constitution de partie civile.

Deuxièmement, pour les particuliers : contestation d’une opération non autorisée, mise en demeure de la banque, assistance des victimes d’un faux conseiller.

Troisièmement, pour les personnes dont l’identité a été usurpée ou dont le compte a été utilisé : assistance dès la convocation, en audition libre comme en garde à vue.

Les premières heures et les premiers documents comptent. Le cabinet peut être contacté dès maintenant.

Questions fréquentes

Crédit Mutuel Arkéa a-t-il été piraté ?

Crédit Mutuel Arkéa a confirmé le 4 novembre 2026 une attaque informatique ayant permis « la réalisation d’opérations frauduleuses ». La banque déclare l’incident maîtrisé et n’a communiqué ni le mode opératoire ni le montant.

Combien d’argent a été détourné ?

Selon l’enquêteur on-chain ZachXBT, plus de 133 millions de dollars, soit environ 118 millions d’euros. Ce chiffre correspond aux retraits visibles sur la blockchain et n’est pas confirmé par la banque.

Fortuneo est-elle concernée ?

Selon les sources du journaliste Grégory Raymond, Fortuneo, la banque en ligne du groupe, aurait été ciblée. Le communiqué de la banque ne la nomme pas : l’information n’est pas confirmée officiellement.

Je suis client de Fortuneo ou d’Arkéa : que faire ?

Contrôler ses relevés. Une opération non autorisée doit être signalée sans tarder, et au plus tard dans les treize mois du débit. La banque doit alors rembourser au plus tard à la fin du premier jour ouvrable suivant.

Les fonds peuvent-ils être récupérés ?

En partie, peut-être : Kraken et Crypto.com déclarent avoir restreint des comptes ou bloqué des fonds. Mais la part convertie en Monero, une crypto-monnaie conçue pour rendre les transactions intraçables, est pratiquement perdue.

Je suis convoqué au sujet d’un compte ouvert à mon nom. Que faire ?

Ne pas s’y présenter seul. Vous serez interrogé sur des faits susceptibles de recevoir la qualification de blanchiment, pour laquelle la loi prévoit une présomption sur l’origine des fonds. Le cabinet peut intervenir dès la convocation.