Vol de crypto-actifs : portefeuille piraté, que faire ?

La notification arrive à 6 h 12 : une transaction sortante, que vous n’avez pas signée, vers une adresse que vous ne connaissez pas. Le temps d’ouvrir l’application, le portefeuille est vide. La veille, un « support technique » vous avait demandé de confirmer votre phrase de récupération sur une page identique à celle de votre plateforme. Personne n’a forcé de porte. Et pourtant, en droit, c’est bien d’un vol qu’il peut s’agir, avec ce que cela change pour la plainte, pour la preuve et pour ceux qui devront répondre de la perte.

Un vol de crypto-actifs se traite d’un bloc : faire geler ce qui peut l’être, conserver la preuve, déposer une plainte qui ouvre les bonnes voies et rechercher qui doit répondre de la perte. Ces démarches se mènent ensemble, et dans les premiers jours.

Cet article traite du cas où les fonds ont été pris sans que vous les remettiez : clé dérobée, appareil compromis, compte de plateforme détourné. Si vous les avez virés vous-même, trompé par une fausse plateforme ou un faux conseiller, la lecture à suivre est celle de l’article consacré à l’escroquerie aux crypto-actifs.

Les premières heures : faire geler ce qui peut l’être

Une plateforme centralisée peut bloquer un compte en quelques minutes, mais rien ne l’y oblige à la demande d’un particulier. Un signalement documenté, avec les identifiants de transaction, les adresses et la chronologie, ne crée aucun droit ; formulé dans les termes de ses obligations de lutte contre le blanchiment, il fixe une date et établit qu’elle a été informée. C’est son utilité, et elle n’est pas négligeable.

Ce qui contraint la plateforme, c’est une saisie ordonnée par l’autorité judiciaire. La Cour de cassation a approuvé la saisie, par un juge d’instruction, de bitcoins détenus sur une plateforme et identifiés par l’analyse de la blockchain¹. Cette mesure appartient aux enquêteurs, et sa rapidité dépend de l’état du dossier qu’ils reçoivent. Votre rôle est de la rendre possible : désigner le premier maillon régulé, c’est-à-dire la plateforme par laquelle l’auteur devra reconvertir les fonds en monnaie, fournir les identifiants de transaction et les horodatages, et demander expressément que des réquisitions partent sans délai.

Deux délais courent déjà. Les données qui permettent d’identifier la source d’une connexion ne sont conservées qu’un an (article L. 34-1 du Code des postes et des communications électroniques) : la réquisition doit partir avant. Si le prestataire qui les détient est établi dans un autre État membre, une injonction européenne de conservation permet de les figer avant qu’elles ne disparaissent.

Conservez enfin l’appareil sur lequel la clé a été saisie, sans le réinitialiser, ainsi que les messages et les pages qui ont servi à l’obtenir. Ce sont eux qui prouveront le mécanisme.

Vol ou escroquerie : la qualification qui décide de la plainte

La ligne de partage tient à la remise. L’escroquerie suppose que vous ayez remis vous-même les fonds, déterminé par des manœuvres. Le vol suppose qu’ils vous aient été soustraits sans votre consentement. Dans le monde des crypto-actifs, cette ligne passe par la clé privée : celui qui vire ses ethers à un faux gestionnaire a remis ; celui dont la clé a été obtenue par une fausse page, puis utilisée à son insu, a été dépossédé.

On objecte parfois qu’une chose immatérielle ne se vole pas. Or, la chambre criminelle admet la soustraction de contenus informationnels depuis 1989, et l’a confirmé pour des données informatiques². Le crypto-actif s’y prête même mieux que la donnée : une donnée copiée reste à son propriétaire, alors que le transfert d’un jeton est irréversible et le dépossède entièrement³.

Selon les circonstances, quatre qualifications sont disponibles : le vol, l’accès frauduleux à un système de traitement automatisé de données, l’escroquerie, et l’abus de confiance lorsque les fonds sont détournés par un intermédiaire légitime, salarié d’une plateforme ou prestataire de conservation⁴. Elles ne s’excluent pas. Une même opération peut réunir l’usurpation d’identité pour obtenir la clé, l’accès frauduleux pour entrer dans le compte et le vol pour en sortir les actifs. La plainte gagne à les viser toutes.

Pour une entreprise ou un professionnel assuré contre le risque cyber, un délai s’ajoute : lorsque le vol a été commis par une intrusion dans un système informatique, l’indemnisation est subordonnée à une plainte déposée dans les soixante-douze heures de sa découverte (article L. 12-10-1 du Code des assurances). Ce délai ne concerne pas les particuliers.

Le piège de l’accès autorisé

Une affaire jugée à Paris montre qu’aucune qualification ne va de soi lorsque les fonds ont circulé selon les règles d’un contrat intelligent. Un individu avait exploité une faille d’un protocole de finance décentralisée pour en retirer l’équivalent de plusieurs millions de dollars. La cour d’appel de Paris a confirmé sa relaxe en écartant trois qualifications⁵.

Premièrement, l’accès frauduleux : le protocole était ouvert par construction, « quiconque » pouvant s’y connecter. Deuxièmement, le vol : les fonds n’appartenaient pas à la plateforme plaignante, mais à ses utilisateurs. Troisièmement, l’abus de confiance : le contrat de prêt était tout entier contenu dans le contrat intelligent, et les fonds avaient été remis en pleine propriété.

L’enseignement est double. Une plainte fondée sur la seule intrusion informatique peut laisser l’auteur libre. Et le vol ne se sauve pas par sa seule invocation : il faut établir à qui appartenaient les fonds au moment du retrait, et qui, de la plateforme ou de ses utilisateurs, doit se constituer partie civile.

Qui répond de la perte : banque, plateforme, prestataire

Si les fonds ont quitté un compte de paiement sans votre ordre, le droit bancaire offre la voie la plus rapide : la banque doit rembourser immédiatement une opération non autorisée, sauf soupçon de fraude de votre part signalé par écrit à la Banque de France (article L. 133-18 du Code monétaire et financier). Le signalement doit intervenir au plus tard treize mois après la date de débit, à peine de forclusion (article L. 133-24).

Lorsque les actifs étaient conservés par une plateforme, la réponse est différente. La cour d’appel de Versailles a jugé que ce régime de remboursement ne s’appliquait pas à un prestataire sur actifs numériques⁶. La responsabilité de la plateforme se recherche donc sur le terrain du contrat, et sa défense est connue : elle n’aurait fait qu’exécuter une transaction signée avec la clé de son client.

Or, la conservation de crypto-actifs pour le compte de tiers « repose sur la garde ou le contrôle des crypto-actifs ou des moyens d’accès à ces actifs, notamment sous la forme de clés privées »⁷, et les choix de conservation lui appartiennent : stockage connecté ou hors ligne, portefeuille regroupant les avoirs de plusieurs clients ou portefeuille propre à chacun. Une plateforme qui laisse partir en une nuit l’intégralité des avoirs d’un client vers une adresse inconnue, sans alerte ni délai, aura à s’expliquer sur ses dispositifs.

La banque par laquelle les fonds ont transité peut, elle aussi, avoir à répondre : elle doit alerter son client en présence d’anomalies apparentes, aisément décelables par un professionnel normalement diligent⁸. Un virement inhabituel par son montant, sa destination ou son heure peut en être une. Cette voie se construit sur une pièce qui montre l’anomalie, non sur les obligations générales de la banque.

Déposer plainte, et la suivre

La plainte se dépose auprès du procureur de la République ou d’un service de police judiciaire, qui doit la recevoir et délivrer un récépissé. Une plainte utile désigne les prestataires à requérir, joint les éléments de traçage et formule les demandes d’actes. Si l’enquête n’avance pas, la plainte avec constitution de partie civile devant le juge d’instruction devient recevable trois mois après la plainte simple, à condition que celle-ci ait été adressée au procureur contre récépissé ou par lettre recommandée : cet envoi se fait le jour même. Lorsque plusieurs personnes ont été visées par le même montage, la jonction des plaintes est ce qui fait le plus sûrement passer un dossier du classement à l’information.

Une mise en garde, enfin. Les propositions de « récupération » contre avance de frais qui suivent un vol sont, dans la quasi-totalité des cas, un second montage ; ces opérateurs usurpent parfois le nom de cabinets existants. Aucun prestataire privé ne contraint une plateforme étrangère à rendre des fonds.

Ce qu’il faut réunir avant un premier échange

• les identifiants des transactions sortantes et les adresses de destination ;
• la chronologie, à la minute si possible, depuis le premier contact suspect ;
• les messages, courriels et pages ayant servi à obtenir la clé, et l’appareil concerné, non réinitialisé ;
• le nom de la plateforme ou du portefeuille, et vos échanges avec son service client ;
• les relevés bancaires si des fonds en euros ont été débités.

Questions fréquentes

Voler des crypto-actifs, est-ce un vol au sens du Code pénal ?

Oui, lorsque la soustraction est caractérisée. La Cour de cassation admet le vol de choses immatérielles et l’a confirmé pour des données informatiques. Le crypto-actif s’y prête d’autant mieux que son transfert dépossède entièrement son titulaire.

J’ai donné ma phrase de récupération à un faux support : suis-je responsable ?

Remettre une clé obtenue par tromperie n’est pas remettre les fonds. Selon les faits, il s’agit d’un vol par hameçonnage ou d’une escroquerie, et la fausse page relève de l’usurpation d’identité. L’infraction est constituée quoi qu’il en soit ; la question de votre vigilance ne se pose que dans le débat sur la responsabilité de la plateforme, et elle se discute.

La plateforme doit-elle me rembourser ?

Sa responsabilité contractuelle se recherche sur ses dispositifs de conservation et de vigilance : la manière dont elle gardait les clés, l’absence d’alerte sur une sortie totale et inhabituelle des avoirs. Le régime légal de remboursement des opérations de paiement non autorisées, lui, ne s’applique pas à un prestataire sur actifs numériques.

Pourquoi ne pas se contenter d’une plainte pour piratage ?

Parce que l’accès frauduleux suppose un accès interdit. Sur un protocole ouvert, la cour d’appel de Paris a confirmé en 2024 une relaxe pour ce motif. La plainte doit viser aussi le vol ou l’abus de confiance, et établir à qui appartenaient les fonds.

Les fonds volés peuvent-ils être gelés ?

Oui, s’ils ont atteint une plateforme identifiable. Le signalement part dans les heures qui suivent ; la plainte permet ensuite au parquet de faire saisir les crypto-actifs sur le compte de leur détenteur.