Où une plateforme d’échange conserve-t-elle vos cryptos, et qu’arrive-t-il en cas de piratage ?

Quand vous achetez des cryptos sur une plateforme d’échange, votre solde ressemble à des pièces rangées dans un tiroir à votre nom. Ce n’est pas le cas, et cela compte quand les choses tournent mal. Le 29 octobre 2026, des attaquants ont dérobé environ 6,3 milliards de dollars dans les portefeuilles « chauds » (hot wallets) de Binance, c’est-à-dire connectés à Internet, selon la plateforme, qui a suspendu les retraits jusqu’à une reprise progressive le 1er novembre. Voici comment fonctionne la conservation.

L’essentiel : où une plateforme d’échange conserve-t-elle vos cryptos ?

• La plateforme détient les clés ; votre solde est son registre de ce qui vous appartient.
• Une partie des fonds reste dans des portefeuilles « chauds », en ligne, pour les retraits, et ceux-ci sont plus exposés aux attaques.
• La preuve de réserves (proof of reserves) est un instantané, pas un audit. Les fonds comme SAFU sont des réserves de l’entreprise, pas une garantie juridique.
• Dans l’UE, les règles de MiCA sur la ségrégation et la responsabilité ne s’appliquent qu’aux entreprises agréées.
• L’autoconservation et le recours à une entreprise comportent des risques différents ; aucune des deux options n’est sans risque.

Que signifie le fait qu’une plateforme d’échange « détienne » vos cryptos ?

Un portefeuille ne stocke pas de pièces. La Securities and Exchange Commission (SEC), le gendarme boursier américain, indique que les portefeuilles « stockent les “clés privées” ou codes d’accès de vos crypto-actifs ». Une clé privée est comme un mot de passe qui permet de déplacer les pièces. Si vous la perdez, l’accès est perdu pour de bon.

Sur une plateforme d’échange, c’est l’entreprise qui gère ces clés pour vous : c’est la conservation. Votre solde est son registre de ce qui vous appartient, adossé à des pièces dont elle contrôle les clés. Si le dépositaire « est piraté, ferme ou fait faillite, vous pouvez perdre l’accès », avertit la SEC. Vous débutez ? Commencez par les bases des cryptomonnaies.

Que sont les portefeuilles chauds et les portefeuilles froids ?

Pensez à une boutique. La caisse enregistreuse, à l’entrée, contient ce dont la journée a besoin ; la chambre forte, au fond, contient le reste et il faut plus de temps pour y accéder.

Un portefeuille chaud (hot wallet) est la caisse : connecté à Internet, pratique, mais exposé aux cybermenaces. Un portefeuille froid (cold wallet) est la chambre forte : généralement un appareil hors ligne, comme une clé USB, voire du papier. La SEC juge les portefeuilles froids moins pratiques, mais généralement mieux à l’abri des cybermenaces. Les appareils peuvent toutefois être perdus, endommagés ou volés.

De nombreuses plateformes disent conserver hors ligne la plupart des pièces de leurs clients et garder en ligne un solde de fonctionnement pour les retraits. Même une petite part en ligne d’une grande plateforme peut représenter des milliards. Notre cours stocker ses cryptomonnaies couvre les deux.

Comment les plateformes d’échange protègent-elles les clés ?

Le grand risque, c’est qu’une seule personne ou machine détienne une clé donnant accès à tout. Deux techniques courantes répartissent ce pouvoir :

• Multisig (multisignature) : une transaction nécessite plusieurs clés, par exemple 2 sur 3, comme un coffre qui ne s’ouvre que lorsque deux des trois détenteurs de clés tournent la leur.
• MPC (multi-party computation, ou calcul multipartite, aussi appelé cryptographie à seuil) : une clé est répartie entre plusieurs parties ou machines, si bien qu’aucune ne la détient en entier.

Ces outils protègent la clé, pas le processus d’approbation qui l’entoure. Lors du piratage de Bybit en 2025, qui a vidé un portefeuille froid multisig, les attaquants ont compromis les personnes et les systèmes autour des portefeuilles, et non la cryptographie, selon la société d’analyse Elliptic. Lisez donc « multisig » ou « MPC » comme « personne ne peut déplacer les fonds seul », et non comme « le piratage est impossible ». Pour en savoir plus, consultez notre introduction à la sécurité.

Qu’est-ce que la preuve de réserves, et que ne montre-t-elle pas ?

La preuve de réserves est le rapport d’une plateforme sur les cryptos qu’elle détient au regard des soldes de ses clients. Certaines vous permettent de vérifier que votre solde a bien été inclus, et prouvent que les réserves couvrent les soldes au moins à un pour un, sans révéler celui de quiconque.

Des membres du personnel du PCAOB, le régulateur américain de l’audit, indiquent que ces rapports portent sur « un moment précis », ne tiennent probablement pas compte des dettes de l’entreprise et n’apportent aucune assurance sur ce qu’il advient des actifs ensuite. « Les missions de PoR ne sont pas des audits », ont-ils écrit. C’est un relevé bancaire valable une seconde. Un portefeuille chaud vidé le 29 octobre figurait dans le rapport de Binance du 1er octobre, selon CoinDesk.

Qu’est-ce qu’un fonds de type assurance comme SAFU ?

SAFU est le fonds d’urgence de Binance. Binance le décrit comme une réserve créée en juillet 2018 pour des cas extrêmes comme les failles de sécurité, alimentée par un pourcentage des frais de transaction.

Un tel fonds appartient à l’entreprise : c’est elle qui décide si et comment l’utiliser, dans la limite de ses moyens. Aucun dispositif public ne garantit les cryptos. MiCA oblige les documents d’information des émetteurs à préciser que les cryptos ne sont pas couvertes par les systèmes de garantie des dépôts ou d’indemnisation des investisseurs de l’UE, et l’assureur américain des dépôts, la FDIC, indique que son assurance ne s’applique pas aux cryptos.

Qu’exige le droit de l’UE des entreprises agréées ?

MiCA, le règlement de l’UE sur les cryptos, s’applique aux entreprises agréées qui détiennent les cryptos de leurs clients ou les clés correspondantes. Le texte de MiCA exige notamment :

• Garde (art. 70) : « des dispositions adéquates pour protéger les droits de propriété des clients, en particulier en cas d’insolvabilité », et aucune utilisation des crypto-actifs des clients « pour leur compte propre ».
• Ségrégation (art. 75) : les crypto-actifs des clients sont détenus séparément de ceux de l’entreprise, y compris sur la blockchain, et hors de portée des créanciers de l’entreprise en cas de faillite.
• Responsabilité (art. 75) : l’entreprise est responsable des crypto-actifs perdus lors d’un incident qui lui est imputable, dans la limite de leur valeur de marché au moment de la perte, mais pas des événements dont elle démontre qu’ils se sont produits indépendamment de ses activités.

Le hic : cela ne couvre que les entreprises agréées. L’ESMA, l’autorité européenne des marchés financiers, indique que les clients de prestataires non agréés « ne bénéficient pas des garanties de MiCA, y compris des protections des actifs des clients », et tient un registre public des entreprises agréées. L’agrément n’exclut pas le piratage, mais il vous indique quelles règles s’appliquent. Pour en savoir plus, consultez notre cours sur les règles crypto dans l’UE.

Autoconservation ou entreprise : quels compromis ?

L’autoconservation consiste à détenir vos propres clés. Aucune des deux options ne supprime le risque.

• Autoconservation : contrôle exclusif et responsabilité exclusive. Un piratage ou une faillite de plateforme ne touche pas directement vos pièces. Mais si vous perdez à la fois votre portefeuille et sa phrase de récupération (seed phrase, les mots qui permettent de le restaurer), la perte est généralement définitive. La mise en place peut demander un certain savoir-faire, et les règles de MiCA sur la conservation ne s’appliquent pas.
• Une entreprise : la récupération du compte est généralement possible, et un dépositaire agréé dans l’UE doit respecter les règles de MiCA sur la ségrégation et la responsabilité. Mais vous dépendez de sa sécurité, de ses pratiques et de sa capacité à couvrir une perte, et les retraits peuvent être suspendus.
• Dans les deux cas : le hameçonnage (phishing) et les logiciels malveillants sur votre propre appareil restent un risque.

Quelles habitudes aident ?

• Ne communiquez jamais vos clés privées ni votre phrase de récupération, recommande la SEC.
• Utilisez des mots de passe robustes et l’authentification à deux facteurs (2FA), une seconde vérification en plus de votre mot de passe. L’agence américaine de cybersécurité, la CISA, recommande vivement des versions « résistantes au hameçonnage ».
• Envisagez une liste d’adresses autorisées (allowlist) pour les retraits si elle est proposée : les retraits ne partent alors que vers des adresses que vous avez approuvées à l’avance.
• Attendez-vous à du hameçonnage après une grosse actualité. De faux messages d’« indemnisation » apparaissent vite, parfois en même temps que de vraies promotions : vérifiez donc uniquement dans l’application ou sur le site officiels, jamais via un lien reçu dans un message.
• Méfiez-vous des offres de « récupération ». L’IC3 du FBI les qualifie de « ruse pour faire à nouveau des victimes parmi ceux qui ont déjà perdu de l’argent ».

Ce qu’il faut retenir

Sur une plateforme d’échange, vos cryptos sont un solde adossé à des clés que quelqu’un d’autre contrôle, et les attaques visent souvent les personnes et les systèmes autour de ces clés. La preuve de réserves montre un instant, les fonds d’urgence relèvent d’un choix de l’entreprise, et les obligations prévues par l’UE ne s’appliquent qu’aux entreprises agréées.

Ce que vous pouvez faire maintenant

• Apprenez à repérer les faux messages de remboursement et de récupération avec notre cours pour repérer les arnaques.
• Posez vos questions sur les portefeuilles et les clés lors de nos Ateliers.

Les questions des lecteurs

Si ma plateforme d’échange est piratée, vais-je récupérer mes cryptos ?

Cela dépend. Une plateforme peut couvrir les pertes avec ses propres fonds, mais c’est son choix. Les fonds volés gelés (bloqués par l’émetteur d’un jeton) ne sont pas restitués automatiquement ; leur récupération peut prendre des mois, voire des années. Dans l’UE, un dépositaire agréé est responsable des pertes qui lui sont imputables.

Un portefeuille froid est-il à l’abri du piratage ?

Non. Il est généralement moins exposé aux attaques en ligne, mais l’appareil peut être perdu, endommagé ou volé.

La preuve de réserves prouve-t-elle qu’une plateforme a assez d’argent ?

Pas à elle seule : elle montre les actifs à un moment donné, et probablement pas les dettes de l’entreprise.

Les prix des cryptomonnaies peuvent monter et baisser fortement, et vous pourriez perdre tout ou partie de l’argent que vous y placez. Les cryptomonnaies ne sont pas couvertes par la protection des dépôts. Cet article est pédagogique et ne constitue pas un conseil financier.