Application de portefeuille sans agrément de la BaFin : quand la conservation de cryptoactifs exige une autorisation

Le 19 août 2026, la BaFin, l’autorité allemande de surveillance financière, a publié le même jour deux communications aux consommateurs visant des offres qui se présentent comme des portefeuilles. L’une concerne un site internet, l’autre un site accompagné d’une application diffusée sous un nom de produit propre dans les magasins habituels. Dans les deux cas, l’autorité écrit que, selon ses constatations, les exploitants opèrent sans l’agrément requis et ne sont pas soumis à sa surveillance. Dans l’un des deux dossiers, elle enquête sur des exploitants inconnus.

Les deux communications reposent sur la même disposition, à savoir le paragraphe 10, alinéa 7, de la loi allemande sur la surveillance des marchés de cryptoactifs (KMAG). Et toutes deux soulèvent la même question, que les comptes rendus de ce type d’avertissement passent presque toujours sous silence : à partir de quand un portefeuille a-t-il besoin d’un agrément ? La réponse ne va pas de soi, car des millions de personnes utilisent des logiciels de portefeuille derrière lesquels ne se tient aucune entreprise agréée, et cela ne pose aucun problème. La différence se loge à un endroit qu’on ne voit pas de l’extérieur d’une application.

Deux avertissements de la BaFin le même jour : ce qui a été publié le 19 août 2026

La première communication vise un site sur lequel, selon les constatations de l’autorité, des services sur cryptoactifs sont proposés sans agrément. La seconde vise deux sites et une application ; les exploitants s’y présentent, selon la communication, comme une société portant la mention de forme juridique LLC qui exploiterait l’application. Les noms et adresses figurent dans les communications de l’autorité elle-même, librement accessibles et référencées ici. Le présent texte ne les cite pas, car son objet est le schéma d’ensemble et non le cas particulier.

Pour situer les choses, il importe de savoir ce qu’une telle communication signifie juridiquement. Le paragraphe 10, alinéa 7, KMAG autorise la BaFin à informer le public en nommant l’entreprise lorsque des faits justifient de présumer, ou lorsqu’il est établi, qu’une entreprise exerce une activité non autorisée. Le texte couvre expressément les deux situations, le soupçon et le constat. L’entreprise doit être entendue avant la décision et, si une publication se révèle ensuite erronée, l’autorité doit rectifier auprès du public par la même voie. Un avertissement n’est donc ni un jugement ni une administration de la preuve, mais une mesure de police assortie d’un mécanisme de retrait intégré.

La deuxième phrase de la même disposition est la partie la plus intéressante. Elle s’applique aussi lorsqu’une entreprise ne fournit pas du tout l’activité non autorisée mais donne publiquement l’apparence de le faire. Pour les offres de portefeuille, c’est le cas le plus fréquent en pratique : une application qui promet de conserver un avoir et de le faire fructifier n’a même pas besoin de détenir réellement cet avoir pour tomber sous le coup du texte.

Article 3, point 17, MiCAR : la conservation, c’est le contrôle des moyens d’accès

La loi sur la surveillance des marchés de cryptoactifs n’est pas un corpus autonome. Son paragraphe 1 indique qu’elle sert à mettre en œuvre le règlement (UE) 2023/1114, c’est-à-dire MiCA. Les définitions de fond y figurent, et l’une d’elles tranche toute la question.

L’article 3, paragraphe 1, point 17, du règlement définit la conservation et l’administration de cryptoactifs pour le compte de clients comme la garde ou le contrôle de cryptoactifs, ou des moyens d’accès à ces cryptoactifs, pour le compte de clients, le cas échéant sous la forme de clés cryptographiques privées. Cette phrase comporte trois aiguillages, et chacun mérite une lecture attentive.

Le premier aiguillage est le mot contrôle. Il suffit qu’un prestataire dispose du contrôle des moyens d’accès ; il n’a pas à conserver lui-même les cryptoactifs. Le deuxième aiguillage tient aux moyens d’accès. Le point de rattachement n’est pas les jetons, mais ce qui permet de les atteindre. Le troisième aiguillage se niche dans les mots pour le compte de clients. Qui détient exclusivement ses propres avoirs ne conserve rien pour un client et ne fournit donc aucun service au sens du règlement.

De ces trois aiguillages découle la ligne de partage dont il est ici question. Un portefeuille dont vous seul détenez les clés et dont le fabricant se borne à livrer un logiciel ne relève pas, selon la lettre du texte, de la conservation, puisque personne ne contrôle pour vous. Dès lors qu’un tiers peut détenir ou restaurer les moyens d’accès, la condition est remplie.

Avec ou sans conservation : comment savoir qui contrôle vos clés

Les termes anglais custodial et non-custodial ne figurent dans aucune des deux dispositions. Comme jargon professionnel, ils recouvrent pourtant exactement la distinction opérée par le règlement. Avec conservation signifie que le prestataire détient les moyens d’accès ; sans conservation signifie que vous les détenez seul.

En pratique, la différence se repère à l’installation. Un portefeuille qui vous affiche une phrase de récupération à la première utilisation et vous invite à la noter hors de l’appareil vous remet par là même les moyens d’accès. Une application où vous vous connectez avec une adresse électronique et un mot de passe, sans jamais voir une telle phrase, a conservé les moyens d’accès. Le vocabulaire n’est ici d’aucun secours fiable, car le mot portefeuille n’est pas protégé et sert pour les deux cas. Qui souhaite un panorama des architectures le trouvera dans le comparatif des portefeuilles logiciels.

La question de la récupération : pourquoi une fonction « mot de passe oublié » trahit l’agrément

Il existe un test unique qui, dans l’immense majorité des cas, apporte une clarté immédiate, et il ne coûte pas une minute. Demandez-vous ce qui se passe si vous perdez votre mot de passe.

Si le prestataire peut vous rendre l’accès, c’est qu’il doit détenir les moyens d’accès ou pouvoir les reconstituer. C’est exactement le contrôle visé à l’article 3, point 17. S’il ne le peut pas et vous renvoie à votre phrase de récupération, alors les moyens d’accès sont entre vos mains et la disposition ne s’applique pas dans cette mesure. Un prestataire qui vante une récupération commode tout en soulignant qu’il n’a aucun accès à vos avoirs affirme deux choses difficiles à tenir ensemble. Cette tension est précisément l’endroit où il vaut la peine de poser des questions.

Article 3, point 16, MiCAR : les dix services sur cryptoactifs en un coup d’œil

La conservation n’est que le premier de dix points. L’article 3, paragraphe 1, point 16, énumère limitativement ce qui constitue un service sur cryptoactifs : la conservation et l’administration de cryptoactifs pour le compte de clients, l’exploitation d’une plateforme de négociation, l’échange de cryptoactifs contre des fonds, l’échange contre d’autres cryptoactifs, l’exécution d’ordres pour le compte de clients, le placement de cryptoactifs, la réception et la transmission d’ordres pour le compte de clients, le conseil en cryptoactifs, la gestion de portefeuille et la fourniture de services de transfert pour le compte de clients.

Cette liste compte davantage pour apprécier une application de portefeuille qu’il n’y paraît d’abord. Une application peut être irréprochable sur la conservation et avoir malgré tout besoin d’un agrément parce qu’elle propose l’une des neuf autres activités. Chacun des dix postes déclenche à lui seul l’obligation d’agrément.

L’échange intégré à l’application : pourquoi le swap est un service à part entière

Le cas le plus fréquent en pratique est la fonction d’échange. De nombreux portefeuilles qui laissent correctement les clés à l’utilisateur affichent un bouton permettant de convertir directement un jeton en un autre. Selon la manière dont cela est agencé techniquement et contractuellement, on touche aux points c), d), e) ou g) de la liste de l’article 3.

Pour vous, utilisateur, cela signifie surtout une chose : la question de l’agrément ne porte pas sur l’application prise dans son ensemble, mais sur chaque fonction séparément. Un portefeuille peut être sans problème dans son principe et proposer néanmoins, au moment de payer, quelque chose qui supposerait une entreprise agréée derrière. Chez les grandes places de négociation, la configuration est différente, puisque l’agrément y couvre d’emblée l’ensemble de l’activité.

Article 59 MiCAR : qui peut proposer des services sur cryptoactifs dans l’Union

L’article 59, paragraphe 1, du règlement énonce l’interdiction assortie d’une réserve d’agrément. Une personne ne peut proposer de services sur cryptoactifs dans l’Union que si elle a été agréée en qualité de prestataire de services sur cryptoactifs au titre de l’article 63 ou si elle relève des établissements visés à l’article 60, c’est-à-dire établissement de crédit, entreprise d’investissement ou établissement de monnaie électronique habilité à fournir ces services sur la base de cet agrément.

Il existe donc deux voies légales et aucune troisième. Qui ne se trouve sur aucune des deux et propose malgré tout l’une des dix activités agit sans autorisation. Cela vaut indépendamment du soin apporté à la construction du logiciel ou du caractère convaincant du site.

Siège et direction dans l’Union : la condition posée par l’article 59, paragraphe 2

Le paragraphe 2 de la même disposition est rarement cité, mais il fait office de test de plausibilité rapide. Les prestataires agréés doivent avoir un siège social dans un État membre où ils exercent au moins une partie de leur activité. Leur lieu de direction effective doit se situer dans l’Union, et l’un au moins des dirigeants doit y résider.

Lorsque les mentions légales d’un fournisseur de portefeuille ne font état que d’une société établie dans un pays tiers et n’indiquent aucune adresse dans l’Union, cela ne correspond pas aux conditions auxquelles l’article 59, paragraphe 2, subordonne un agrément. Ce n’est encore la preuve de rien, mais c’est une raison d’aller consulter les registres plutôt que de s’en remettre à la présentation.

Paragraphe 9 KMAG : ce que la BaFin peut ordonner en cas d’activité non autorisée

L’exécution en droit allemand figure au paragraphe 9 de la loi sur la surveillance des marchés de cryptoactifs, sous l’intitulé « intervention contre les activités non autorisées ». Selon l’alinéa 1, première phrase, point 3, la BaFin peut ordonner la cessation immédiate de l’activité et sa liquidation sans délai lorsque des services sur cryptoactifs sont proposés sans l’agrément exigé par l’article 59, paragraphe 1, point a), du règlement.

Deux détails de cette disposition pèsent lourd pour les personnes concernées. D’abord, les pouvoirs prévus à l’alinéa 1 visent, au-delà de l’entreprise elle-même, ses associés, les membres de ses organes et les entreprises associées à l’initiation, à la conclusion ou au dénouement de telles opérations. Ensuite, l’autorité peut ordonner la cessation dès lors que des faits justifient de présumer une activité non autorisée. Elle n’a donc pas à attendre la preuve. Le paragraphe 10, alinéa 8, lui permet en outre d’interdire l’activité à titre provisoire jusqu’à clarification.

Pour vous, utilisateur, cela emporte une conséquence désagréable que les avertissements mentionnent rarement : si l’autorité intervient et désigne un liquidateur, votre avoir fait partie d’une liquidation. C’est une procédure longue à l’issue incertaine, et elle s’ouvre au moment où le prestataire doit cesser son activité.

Pourquoi un avertissement ne paraît qu’après l’audition, et ce que cela change au calendrier

Le paragraphe 10, alinéa 7, troisième phrase, KMAG impose d’entendre l’entreprise avant la publication. Cette audition prend du temps. Entre le moment où une offre apparaît sur le marché et celui où un avertissement est publié s’intercale donc nécessairement une période pendant laquelle l’autorité sait déjà et le public ignore encore.

Il en résulte la réserve la plus importante à l’égard de toute liste d’alerte. Elle ne peut contenir que ce qui a déjà fait l’objet d’une enquête et d’une audition. Une offre absente de la liste n’est donc simplement pas l’objet d’une publication achevée. De là à être examinée et jugée saine, il y a loin. À quel point ces listes sont incomplètes en pratique, le niveau européen le montre : le registre de l’ESMA des prestataires non conformes est très majoritairement alimenté par une seule autorité nationale. Du côté allemand, l’analyse des avertissements de la BaFin sur les séries de plateformes crypto a donné le même résultat.

La base de données des entreprises a une lacune : pourquoi une absence ne signifie rien en conservation personnelle

Le conseil standard, pour tout prestataire, consiste à consulter la base de données des entreprises de la BaFin. Il est juste, mais il se heurte, s’agissant des portefeuilles, à une particularité qui peut l’émousser.

Une base de données des entreprises agréées recense les entreprises titulaires d’un agrément. Le fabricant d’un portefeuille de pure conservation personnelle n’a besoin d’aucun agrément et n’y figure donc régulièrement pas. Son absence est ici la conséquence attendue du fait qu’il n’exerce aucune activité soumise à agrément, et ne vaut pas signal d’alerte. À l’inverse, l’absence d’un prestataire qui propose la conservation ou l’échange constitue un signal très net.

La consultation de la base ne répond donc pas à elle seule à la question. Elle ne devient parlante qu’une fois que vous avez déterminé au préalable dans laquelle des deux catégories l’offre se range. Cet ordre est le véritable bénéfice du présent texte : déterminer d’abord l’architecture, vérifier ensuite. Procéder à l’envers, c’est tirer d’un résultat de recherche vide soit une fausse tranquillité, soit une fausse alerte.

Une fiche sur une boutique d’applications n’est pas un agrément : ce que prouve la publication d’une application

Qu’une application soit disponible sur l’une des grandes boutiques ne dit rien de sa situation prudentielle. Les exploitants de ces boutiques vérifient des lignes directrices techniques et des mentions formelles ; ils n’octroient aucun agrément au titre de l’article 59 du règlement et n’ont pas compétence pour le faire. L’une des deux communications du 19 août vise expressément une application, et pas seulement un site.

Il en va de même des notes, du nombre de téléchargements et d’une présentation soignée. Aucun de ces éléments n’a d’équivalent dans les dispositions ici en cause. L’agrément est une qualité de l’entreprise, non du produit.

Distinction avec la question de la sécurité : l’agrément ne protège pas de la perte des clés

Pour finir, une limite que ce texte ne devrait pas franchir. L’obligation d’agrément est une catégorie prudentielle et non une appréciation de la sécurité technique d’une application. Un conservateur agréé peut être attaqué, et un portefeuille de conservation personnelle non soumis à agrément peut être excellemment conçu.

Les deux questions se croisent, et toutes deux appellent une réponse. Qui détient lui-même les clés porte seul la responsabilité de leur conservation. Qui les confie échange ce risque contre celui de voir le conservateur mal tourner. L’agrément dit quelque chose du second cas et rien du premier.

Vérifier l’obligation d’agrément d’un portefeuille : ce qu’il faut retenir

1. Déterminez d’abord l’architecture, vérifiez ensuite. Posez la question du mot de passe : si le prestataire peut vous rendre l’accès, il détient les moyens d’accès et la conservation au sens de l’article 3, point 17, du règlement entre en jeu. S’il vous affiche une phrase de récupération et vous renvoie à vous-même en cas de perte, les moyens d’accès sont chez vous. Les architectures existantes et leurs différences figurent dans le comparatif des portefeuilles logiciels.
2. Vérifiez chaque fonction séparément, pas l’application dans son ensemble. L’article 3, paragraphe 1, point 16, énumère dix services, et chacun déclenche à lui seul l’obligation d’agrément. Une fonction d’échange intégrée en est le cas le plus fréquent. Chez les prestataires dont l’agrément couvre d’emblée toute l’activité, cet examen fonction par fonction disparaît ; les plateformes crypto réglementées en offrent un panorama.
3. Lisez correctement un résultat de recherche vide. Si un prestataire ne figure pas dans la base des entreprises, cela ne signifie rien pour un portefeuille de pure conservation personnelle et beaucoup pour une offre de conservation ou d’échange. Vérifiez en outre que le siège et la direction se trouvent bien dans l’Union, comme l’exige l’article 59, paragraphe 2. Si vous détenez vous-même les clés, protégez-les selon les architectures du comparatif des portefeuilles matériels.

Les deux communications du 19 août 2026 sont consultables sur le portail de l’autorité ; l’une d’elles est publiée ici. Y sont décrits des cas suspectés au titre du paragraphe 10, alinéa 7, KMAG, et non des faits établis par une juridiction.

(Au 19 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)