Avertissement de la BaFin pour usurpation d'identité : quand une plateforme crypto porte le nom d'une vraie société allemande

L'autorité de supervision financière allemande BaFin a mis en garde le 24 août 2026 contre les offres proposées sur le site tresorbit(.)com. La nouveauté de cet avertissement tient à une précision : selon les constatations du superviseur, il s'agit d'une usurpation d'identité au détriment d'une société allemande bien réelle. La réponse courte, pour vous, est donc la suivante. Un nom de société allemand, une adresse en Allemagne et une forme juridique en bonne et due forme affichés sur un site crypto ne prouvent absolument rien. Un prestataire n'est vérifié qu'à partir du moment où vous l'avez trouvé vous-même dans la base d'entreprises de la BaFin.

Selon la BaFin, des services sur crypto-actifs sont proposés via ce site sans agrément, en l'occurrence la négociation de crypto-actifs. Le superviseur précise en outre l'identité utilisée à cette fin : la société Gesellschaft für Kryptoregisterführung mbH, établie à Willich. D'après la BaFin, cette entreprise n'a aucun lien avec les exploitants du site. Celui qui cherche donc le nom de la société sur un moteur de recherche et trouve une inscription authentique au registre du commerce allemand y trouve une confirmation trompeuse.

Avertissement de la BaFin du 24 août 2026 : ce que le superviseur a communiqué sur tresorbit(.)com

Le communiqué lui-même est bref et se compose de trois affirmations, dont chacune compte pour votre propre vérification. Premièrement : des services sur crypto-actifs sont proposés via le site sans que l'agrément requis ait été délivré. Deuxièmement : ce qui est proposé est concrètement la négociation de crypto-actifs. Troisièmement : il existe une usurpation d'identité au détriment de la société de Willich mentionnée, laquelle n'a rien à voir avec les exploitants.

La BaFin fonde cette publication sur l'article 10, alinéa 7 de la loi allemande sur la supervision des marchés de crypto-actifs. C'est la disposition qui autorise le superviseur à informer le public sur les offres crypto non autorisées et à citer à cette occasion des noms et des adresses. Une telle communication n'est ni une décision de justice ni une condamnation pénale. C'est une information officielle sur ce que le superviseur a constaté. Pour vous, investisseur, c'est la source la plus solide qui existe au sujet d'un prestataire inconnu.

Ce que le communiqué ne contient pas fait tout autant partie du tableau : aucun montant de préjudice, aucun nombre de clients concernés, aucune indication sur la durée d'exploitation du site. Quiconque vous avance de tels chiffres sur ce dossier ne les tient pas de la BaFin.

L'usurpation d'identité expliquée : ce que le terme signifie en droit de la supervision

L'usurpation d'identité signifie ici que des exploitants inconnus utilisent le nom, l'adresse ou les données d'immatriculation d'une entreprise réellement existante afin de donner à leur propre offre une apparence de sérieux, sans que cette entreprise en ait connaissance ni y participe. Dans ces situations, l'entreprise concernée est elle-même victime.

La différence avec une société écran librement inventée a des conséquences pratiques. Une société inventée se trahit dès que vous cherchez le nom et ne trouvez rien. Un nom usurpé résiste à cette première recherche : l'entreprise existe vraiment, il y a une inscription au registre du commerce, il y a une adresse en Allemagne et, le cas échéant, il y a même un site avec des mentions légales correctes. Tout cela appartient cependant à une autre société que celle qui souhaite recevoir votre argent.

Pourquoi les offres crypto y sont particulièrement exposées

Le règlement européen MiCA s'applique intégralement depuis le 30 décembre 2024, et quiconque propose des services sur crypto-actifs en Allemagne a besoin d'un agrément pour le faire. Les investisseurs allemands ont pris l'habitude de vérifier les agréments, et c'est précisément cette habitude qui est exploitée. Une offre qui affiche une société allemande dans ses mentions légales paraît aujourd'hui plus crédible qu'une offre domiciliée outre-mer. L'usurpation d'un nom authentique constitue ainsi la réponse à une réglementation qui, sur le principe, fonctionne.

Registre du commerce, mentions légales, numéro d'agrément : pourquoi ces trois preuves ne prouvent rien

Le registre du commerce est un répertoire des commerçants et des sociétés immatriculés en Allemagne et atteste qu'une entreprise existe juridiquement. Il ne dit rien sur le point de savoir si cette entreprise dispose d'un agrément de la BaFin, et encore moins si le site qui utilise ce nom lui appartient réellement.

Il en va de même des mentions légales. Les mentions légales sont une déclaration de l'exploitant du site sur lui-même. Personne ne vérifie avant publication si la société qui y figure appartient bien à l'exploitant. Cela vaut également pour les numéros d'agrément ou d'immatriculation imprimés sur une page : un numéro reste une suite de caractères tant que vous ne l'avez pas consulté dans le registre lui-même.

La voie fiable emprunte donc toujours le sens inverse. Vous ne cherchez pas sur le site des preuves de son propre sérieux. Vous cherchez le prestataire dans le registre, puis vous vérifiez si les indications qui y sont conservées correspondent à ce que vous avez sous les yeux. Celui qui utilise une plateforme crypto réglementée disposant d'un agrément européen vérifiable évite largement ce problème, car l'agrément y est documenté publiquement et facile à retrouver.

Service sur crypto-actifs : ce qui exige un agrément depuis 2026

Un service sur crypto-actifs est une prestation commerciale portant sur des crypto-actifs et fournie à un client, par exemple l'exploitation d'une plateforme de négociation, l'échange de crypto-actifs contre des euros, l'exécution d'ordres ou la conservation de crypto-actifs pour le compte d'autrui. Quiconque propose cela en Allemagne a besoin d'un agrément de la BaFin.

N'en relève pas ce que vous faites pour vous-même. Si vous conservez du Bitcoin dans votre propre portefeuille, dont vous seul connaissez les clés, personne ne vous fournit de prestation et personne n'a besoin d'agrément pour cela. Cette distinction explique aussi pourquoi certains fournisseurs de portefeuilles travaillent légitimement sans agrément et d'autres non ; nous avons traité cette ligne de partage en détail dans un article consacré à l'obligation d'agrément des applications de portefeuille.

Base d'entreprises de la BaFin et registre MiCA : comment vérifier un prestataire

La base d'entreprises de la BaFin est le répertoire public de tous les établissements et prestataires auxquels le superviseur a délivré une autorisation ou un agrément. L'accès est gratuit et ne nécessite aucune inscription ; c'est le seul endroit où vous vérifiez réellement un agrément allemand.

La recherche n'a rien de spectaculaire et prend quelques minutes. Vous ouvrez la base d'entreprises de la BaFin et cherchez le nom exact de la société figurant dans les mentions légales. Si vous ne trouvez aucun résultat, la question est déjà tranchée. Si vous trouvez un résultat, vous comparez l'adresse et la forme juridique avec les indications du site, caractère par caractère : une forme juridique différente ou une autre ville n'est pas un détail mais le constat lui-même.

Pour les prestataires établis dans un autre pays de l'Union, le registre MiCA de l'autorité européenne des marchés financiers ESMA occupe la même place. Y sont répertoriés les prestataires de services sur crypto-actifs agréés de tous les États membres, avec à chaque fois l'autorité qui a délivré l'agrément. Un prestataire qui revendique un agrément européen et ne figure pas dans ce registre n'en a pas.

Trois indications qui doivent concorder

Un résultat dans le registre ne suffit pas à lui seul. Doivent concorder le nom de la société dans les mentions légales, l'inscription au registre et le domaine sur lequel vous vous trouvez. Le cas contre lequel la BaFin a mis en garde le 24 août fonctionne précisément par cette faille : le nom existe, l'entreprise existe, le site ne lui appartient pas. Les prestataires sérieux indiquent donc leur domaine dans leurs documents officiels et signalent activement les imitateurs.

Notre propre décompte : cinq des 24 communications aux consommateurs de la BaFin concernent la crypto

cryptoticker.io a réalisé lui-même cette analyse le 25 août 2026. Méthode : nous avons consulté la page de synthèse « Actualités et avertissements » de la BaFin, chargé individuellement toutes les communications aux consommateurs de l'année 2026 qui y figurent et évalué pour chacune si le texte lui-même porte sur une offre crypto et s'il fait état d'une usurpation d'identité. Le bloc explicatif général figurant à la fin de chaque communication, qui énumère ces notions de manière routinière, a été écarté à cette occasion.

Objets examinés : 24 communications aux consommateurs, toutes récupérées avec un statut HTTP 200. Résultat : cinq d'entre elles portent sur des offres crypto, datées des 18, 19 (deux communications), 24 et 25 août 2026, et donc toutes comprises dans une fenêtre de huit jours. Une seule de ces communications, celle relative à tresorbit(.)com, fait expressément état d'une usurpation d'identité.

Ce que nous n'avons pas pu vérifier en fait également partie. La page de synthèse ne montre qu'une portion de l'année. L'entrée la plus ancienne qui y figure date du 4 mai 2026 ; les communications des mois précédents n'étaient pas accessibles par cette page. Ces 24 correspondent à l'état de la page le jour du relevé et non au total annuel. Le classement d'après le texte des communications comporte lui aussi une limite : l'avertissement du 19 août relatif à l'application « NC Wallet » porte sur une application de portefeuille, mais son intitulé ne mentionne que des services financiers ; selon notre règle, il ne relève donc pas du groupe crypto.

Quatre autres avertissements les 24 et 25 août : ce qui distingue les cas

Ces deux mêmes jours, la BaFin a publié quatre autres communications aux consommateurs, et la comparaison montre à quel point les schémas diffèrent. À propos d'auvelion(.)com, le superviseur indique que des services financiers et d'investissement ainsi que des services sur crypto-actifs y sont proposés sans autorisation ; l'exploitant apparaît simplement sous la dénomination Auvelion, sans forme juridique, sans siège indiqué et sans mentions légales. C'est le cas manifeste : tout fait purement et simplement défaut.

Pour rivolifinances(.)com, les exploitants utilisent selon la BaFin les dénominations Rivoli S.A. et Rivoli Finances Sàrl et indiquent un prétendu siège en France ; le soupçon du superviseur porte ici sur des opérations bancaires non autorisées par l'octroi de crédits. Concernant navigatorpf(.)com, il est indiqué que les exploitants proposent des opérations bancaires et des services financiers sans autorisation et ne sont pas supervisés par la BaFin. La quatrième communication, du 25 août, porte sur helvetickeystone(.)com ainsi que sur des courriels émis depuis une adresse d'expéditeur à l'orthographe voisine, et concerne des offres de dépôts à vue et à terme.

Entre le cas manifeste et le nom usurpé se situe un troisième niveau, que la BaFin a décrit le 19 août à propos de l'application « Crendel ». Une société américaine y est mentionnée comme développeur selon les indications de l'application elle-même, et le superviseur indique ne disposer d'aucun élément permettant de savoir si cette société immatriculée a effectivement un quelconque lien avec l'application. Le superviseur s'exprime ici avec plus de prudence que dans l'affaire de Willich, où il constate l'usurpation.

À quoi reconnaître une usurpation d'identité sur un site crypto

Il n'existe pas d'indice fiable que l'on puisse tirer du texte du site lui-même, car les indications sont correctes précisément parce qu'elles proviennent de quelqu'un d'autre. Ce qui se vérifie, ce sont les ruptures entre les indications.

• Le nom de la société dans les mentions légales n'a, sur le fond, rien à voir avec la présentation de la plateforme, par exemple une société de tenue de registre ou d'administration derrière une interface de négociation.
• Le domaine n'apparaît nulle part sur le site de la société mentionnée et, inversement, la plateforme ne renvoie jamais à l'adresse d'origine de celle-ci.
• Les adresses électroniques passent par un domaine qui ressemble au domaine officiel sans lui être identique. La BaFin a décrit exactement cette configuration le 25 août à propos d'helvetickeystone(.)com, où l'adresse d'expéditeur reposait sur un domaine différent.
• La société est immatriculée au registre du commerce mais ne figure pas dans la base d'entreprises de la BaFin comme prestataire de services sur crypto-actifs.
• Les retraits sont subordonnés à un versement supplémentaire, par exemple à une prétendue taxe, à des frais ou à un déblocage. Vous connaissez ce schéma grâce à notre analyse des demandes de retrait falsifiées.

Le dernier point est le plus important, car il fonctionne indépendamment de toute vérification au registre. Une plateforme agréée n'exige jamais un versement préalable pour libérer votre propre solde.

Argent déjà viré : quelles étapes comptent maintenant

Si vous avez déposé des fonds auprès d'un prestataire contre lequel la BaFin met désormais en garde, l'ordre des étapes est décisif. Vous sécurisez d'abord les preuves : relevés bancaires, justificatifs de virement, empreintes de transaction, captures d'écran de la plateforme et l'intégralité des échanges. Ces documents constituent ensuite la base de toute plainte et de toute tentative de remboursement, et ils disparaissent dès que l'accès à la plateforme est coupé.

Vient ensuite la démarche auprès de votre banque. Pour un virement SEPA remontant à quelques jours seulement, un rappel peut parfois encore aboutir ; pour les paiements par carte, une rétrofacturation est envisageable. Les deux dépendent de délais, et ces deux délais courent à compter du jour du paiement, non du jour où le soupçon vous vient. En parallèle, vous déposez plainte auprès de la police, ce qui est également possible en ligne.

Ce qui, régulièrement, n'apporte rien : un message au service client de la plateforme, une mise en demeure de rembourser et surtout toute offre promettant une récupération contre paiement d'avance. De telles offres constituent un modèle économique à part entière, et la BaFin a déjà mis en garde en 2026 contre un site de ce type. Si des crypto-actifs ont été déplacés depuis votre propre portefeuille, une règle supplémentaire s'applique. Dès lors que vous pouvez avoir divulgué vos identifiants, vous transférez les avoirs restants vers un portefeuille nouvellement créé, dont les clés ne se sont jamais trouvées sur un appareil tiers. Quels appareils conviennent pour cela, notre comparatif des portefeuilles matériels le montre.

Ce que vous pouvez signaler à la BaFin

La BaFin n'est pas une autorité qui récupère votre argent, et elle ne représente pas les investisseurs à titre individuel. Le superviseur accepte en revanche les signalements portant sur des activités non autorisées, et ces signalements sont précisément à l'origine des communications aux consommateurs dont il est question ici. Un signalement vaut donc la peine même si vous n'avez subi aucun préjudice.

Distinction avec l'hameçonnage et les séries de plateformes : pourquoi il s'agit d'une autre attaque

Dans l'hameçonnage, l'attaquant vise vos identifiants ou votre phrase de récupération, c'est-à-dire un secret que vous détenez déjà. Cela vaut pour les courriels falsifiés comme pour les courriers à code QR contre lesquels une mise en garde a été publiée en août et que nous avons décrits dans notre article sur l'hameçonnage de portefeuille par courrier postal. L'usurpation d'identité, elle, joue sur la confiance avant le premier versement : vous devez virer volontairement parce que le prestataire paraît en ordre.

Le cas se distingue également de ce que l'on appelle les séries de plateformes. Dans ce schéma, de nombreux sites presque identiques sont exploités sous des noms changeants et se reconnaissent à leur formulation et à leur structure ; nous avons dénombré cette structure dans une analyse consacrée aux avertissements de la BaFin sur les séries de plateformes crypto. L'usurpation d'un nom de société authentique est la voie la plus coûteuse, car elle ne fonctionne qu'une fois par entreprise victime, mais elle résiste en contrepartie à une vérification superficielle. Une troisième variante est l'application purement et simplement non agréée, comme dans le cas de l'avertissement de la BaFin sur NC Wallet.

Ce que ce dossier implique pour le choix de votre prestataire

La conséquence pratique est inconfortable mais maîtrisable : la vérification doit intervenir avant le premier versement, car ensuite elle n'empêche plus rien. Deux minutes dans la base d'entreprises coûtent moins cher que n'importe quelle tentative de remboursement.

Celui qui ne veut pas repartir de zéro à chaque nouveau nom réduit le problème par le choix de son prestataire. Une poignée de lieux de négociation agréés dans l'Union couvre de très loin l'essentiel de ce dont les particuliers ont besoin ; notre comparatif des grandes plateformes crypto classe les prestataires courants selon les frais et l'étendue des fonctions. Et celui qui documente de toute façon proprement ses mouvements, par exemple avec l'un des outils de notre panorama des outils fiscaux et de suivi de portefeuille crypto, dispose déjà, en cas de sinistre, des justificatifs qu'il faudrait autrement rassembler péniblement.

Un dernier point concerne le sens inverse. Les offres d'emploi sont également utilisées pour des activités crypto non autorisées, lorsque les candidats doivent faire transiter des paiements par leur propre compte et les convertir en crypto-actifs ; la BaFin a mis en garde à ce sujet le 18 août, et nous avons décrit ce schéma sous l'intitulé du piège de l'agent financier. Celui qui s'y laisse prendre perd de l'argent et se retrouve de surcroît dans le viseur des autorités pénales.

Avertissement de la BaFin pour usurpation d'identité : ce qu'il faut en retenir

1. Vérifiez le prestataire au registre avant de verser des fonds. Cherchez le nom exact de la société figurant dans les mentions légales dans la base d'entreprises de la BaFin et comparez la forme juridique et l'adresse caractère par caractère. Si vous voulez vous épargner cette recherche, choisissez d'emblée une plateforme crypto réglementée disposant d'un agrément européen documenté.
2. Traitez un nom de société allemand comme une affirmation et non comme une preuve. Le cas du 24 août montre qu'une inscription au registre du commerce et des mentions légales peuvent être authentiques et appartenir malgré tout à une autre entreprise. Comparez plutôt les prestataires à l'aune de conditions vérifiables, par exemple grâce à notre comparatif des plateformes crypto.
3. Conservez vous-même les avoirs que vous ne négociez pas. Ce qui se trouve dans un portefeuille dont vous seul connaissez les clés ne peut vous être pris par aucun prestataire non autorisé. Quels appareils conviennent et ce qu'ils coûtent figure dans notre comparatif des portefeuilles matériels.

(Au 25 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)