Floin : une cyberattaque paralyse la plateforme crypto agréée MiCA du Liechtenstein

Floin, plateforme crypto de Vaduz agréée au titre de MiCA par l’autorité liechtensteinoise des marchés financiers, la FMA, indique avoir été la cible d’une cyberattaque. Le samedi 31 octobre 2026, Floin a mis tous ses services hors ligne : l’application et la plateforme web sont inaccessibles jusqu’à nouvel ordre. Dans un courriel envoyé à ses clients à 11 h 54, l’entreprise les invite à ne plus rien envoyer aux adresses de portefeuille Floin, même si les dépôts restent techniquement possibles. Floin n’a pas dit si des fonds de clients ont été dérobés.

L’essentiel en bref

• Incident : cyberattaque selon Floin, courriel aux clients le 31 octobre 2026 à 11 h 54, application et plateforme web hors ligne depuis.
• Avertissement : aucun dépôt ni envoi de crypto-actifs vers des adresses de portefeuille Floin, y compris depuis des portefeuilles externes ou d’autres plateformes.
• Préjudice : jusqu’au samedi après-midi, Floin n’indique ni montant ni cryptomonnaies concernées.
• Supervision : agrément MiCA de la FMA du Liechtenstein depuis le 10 juin 2026, valable dans les 30 États de l’EEE, y compris en Allemagne.
• Garantie des dépôts : les 100 000 euros de la garantie légale des dépôts ne s’appliquent pas aux crypto-actifs ; MiCA impose à la place une conservation ségréguée et une responsabilité à hauteur de la valeur de marché.
• Vague de piratages : deuxième incident sur une plateforme centralisée en 48 heures, après le piratage de Binance du 29 octobre, qui a causé environ 6,3 milliards de dollars de préjudice selon Binance.

Cyberattaque contre Floin : ce que la plateforme dit à ses clients

Le message est bref et laisse en suspens les questions essentielles. Floin écrit que la plateforme a été la cible d’une cyberattaque, que tous les services sont hors ligne et que l’accès à l’application et à la plateforme web est donc impossible jusqu’à nouvel ordre. L’enquête serait en cours et aurait la plus haute priorité. Sur la page d’état, l’incident figure depuis 11 h 30 avec la mention « Investigating », et une bannière affiche le même avertissement sur la page d’accueil de floin.com. CryptoTicker a eu connaissance du courriel.

Pour les clients, trois phrases comptent. Premièrement : aucun dépôt sur les portefeuilles Floin, pas même depuis des portefeuilles externes ou d’autres plateformes, « even if deposits are still technically possible », précise le message. Deuxièmement : Floin ne répond actuellement à aucune demande individuelle, pas même par courriel. Troisièmement : les nouvelles ne seront publiées que sur le site de l’entreprise, que les clients sont invités à consulter chaque jour.

On ignore quand l’attaque a commencé, quels systèmes sont touchés, si des cryptos ou des données ont été dérobées et quand les retraits reprendront. Qui envoie malgré tout des cryptos à une adresse Floin n’a actuellement aucun interlocuteur capable de les attribuer.

Qui se cache derrière Floin : une plateforme crypto agréée MiCA à Vaduz

La plateforme est exploitée par Floin AG, dont le siège se trouve Am Schrägen Weg 2, 9490 Vaduz, fondée le 29 janvier 2021 sous le nom de The Finest Token AG et inscrite au registre du commerce liechtensteinois sous le numéro FL-0002.652.200-0. Selon les mentions légales, Marc Weber en est le fondateur et directeur général. D’après le prospectus d’actions du 30 juin 2026, il détient 90,01 % du capital ; les 9,99 % restants appartiennent à une société slovène dont il possède la moitié. Selon l’extrait du registre du commerce, le président du conseil d’administration est l’avocat Thomas Stern. Floin s’est fait connaître en 2023 en vendant son propre jeton, aujourd’hui listé sur floin.com sous le symbole FLTK : une vente privée a eu lieu jusqu’à la mi-juillet 2023, et le 20 juillet 2023 Floin a annoncé le lancement de la vente publique. En janvier 2024, la société de sécurité Halborn a publié une étude de cas sur Floin : lors d’un audit du smart contract et de la plateforme, elle avait relevé 34 vulnérabilités, que Floin a toutes corrigées selon Halborn.

La taille de Floin ressort des comptes annuels 2024, que l’entreprise publie elle-même : un chiffre d’affaires de 3,28 millions de francs (2023 : 3,63 millions), un bénéfice net de 201 193 francs et un capital-actions de 250 000 francs. L’organe de révision Grant Thornton, à Schaan, a procédé à un examen succinct des comptes.

En parallèle, Floin lève actuellement des fonds propres auprès de sa communauté. Sur sa page d’offre, l’entreprise vend des actions privilégiées de Floin AG sous forme de jetons baptisés FLEQ, sur la base d’un prospectus approuvé par la FMA le 30 juin 2026. Le tour communautaire se déroule à 1,44 franc par action, avec une souscription minimale de 5 000 francs, suivie d’une période de blocage de douze mois. Floin avance pour cela une valorisation d’environ 45 millions d’euros ; samedi, la page affichait pour ce tour 10 510 actions vendues sur 1 000 000. Au total, l’offre porte sur jusqu’à 7 millions de francs. Pour les acquéreurs de ces actions, la protection de la conservation prévue par MiCA ne s’applique pas : en tant qu’actionnaires, ils portent le risque entrepreneurial.

Dans le registre MiCA de l’autorité européenne des marchés financiers, l’ESMA, Floin AG figure depuis le 10 juin 2026 avec un agrément de la FMA du Liechtenstein pour cinq services : conservation de crypto-actifs pour le compte de clients, échange contre des fonds, échange contre d’autres crypto-actifs, placement et transfert. Grâce au passeport européen, l’agrément est valable dans tout l’Espace économique européen, y compris en Allemagne et en Autriche. Chaque courriel adressé aux clients mentionne en outre le numéro 329177 de prestataire de services sur actifs virtuels (VASP) enregistré auprès de la FMA.

Les communications de Floin en 2026 forment une chronologie dense, établie à partir des courriels aux clients et du registre de l’ESMA :

Floin et la garantie des dépôts : ce que MiCA prévoit en cas de sinistre

Les crypto-actifs ne bénéficient d’aucune garantie des dépôts bancaire, même chez un prestataire agréé MiCA. La garantie légale des dépôts prévue par la directive européenne 2014/49/UE protège les dépôts bancaires jusqu’à 100 000 euros par client et par banque. Des cryptos sur une plateforme ne sont pas des dépôts bancaires. La BaFin allemande répond elle aussi à la question de savoir si la garantie des dépôts ou l’indemnisation des investisseurs couvrent les crypto-actifs : en règle générale, non.

Ce que le règlement MiCA (UE) 2023/1114 exige à la place :

• Conservation ségréguée : les crypto-actifs conservés n’appartiennent juridiquement pas au patrimoine du prestataire, et les créanciers de celui-ci n’y ont pas accès en cas d’insolvabilité (article 75, paragraphe 7).
• Responsabilité : si un prestataire perd des crypto-actifs ou leurs moyens d’accès à la suite d’un incident qui lui est imputable, il est responsable envers le client, dans la limite de la valeur de marché au moment de la perte (article 75, paragraphe 8).
• Avoirs en euros : le prestataire doit déposer les fonds des clients auprès d’une banque ou d’une banque centrale au plus tard à la fin du jour ouvrable suivant, séparément de ses propres fonds (article 70).
• Obligation de notification : depuis le 1er février 2025, le règlement européen DORA sur la résilience opérationnelle numérique s’applique aussi au Liechtenstein. Floin doit signaler un incident informatique majeur à la FMA, la notification initiale intervenant en règle générale dans les 24 heures suivant sa détection (article 19). On ignore si Floin a signalé l’attaque.

Concrètement, le remboursement des clients de Floin dépend de ce qui a été dérobé et de la capacité de Floin à couvrir la perte sur ses fonds propres ou par une assurance. Le message de Floin de samedi ne mentionne aucun fonds de garantie comparable au fonds SAFU de Binance. Combien les grandes plateformes détiennent dans ce type de réserves, nous l’avons calculé dans l’article Fonds de protection des plateformes crypto : nos calculs.

Piratages crypto en série : ce qui réussit actuellement aux attaquants

Floin est le deuxième incident sur une plateforme centralisée en 48 heures. Le soir du 29 octobre, environ 6,3 milliards de dollars ont quitté Binance selon la plateforme, un montant jamais atteint par un piratage crypto. En septembre, c’était au tour de Bitget, qui a compensé le préjudice grâce à son fonds de protection, comme nous l’avons décrit dans Bitget après le piratage. Nous rassemblons tous les grands cas dans notre rubrique Piratages crypto.

Le schéma est le même : ce n’est pas la cryptographie qui est cassée, mais les personnes et les appareils. Chez Binance, selon la plateforme, la porte d’entrée était l’ordinateur portable compromis d’un ingénieur DevOps, par lequel les attaquants ont atteint un conteneur de service qui valide les retraits ; les détails figurent dans Binance chiffre le piratage à 6,3 milliards de dollars. Le FBI a attribué à la Corée du Nord le piratage de Bybit de février 2025, d’environ 1,5 milliard de dollars, tout comme les analystes blockchain pour le cas Binance. Chez Ledger, en décembre 2023, une attaque d’hameçonnage contre un ancien salarié a suffi, après quoi une version piégée d’une bibliothèque logicielle a été mise en ligne ; les clients ont perdu environ 600 000 dollars, selon BleepingComputer.

La voie suivie par les attaquants chez Floin reste inconnue. Un détail distingue toutefois le cas : Binance a communiqué un montant du préjudice le jour même de l’attaque et s’est engagée peu après à rembourser toutes les pertes des clients. Floin se contente pour l’instant de renvoyer à son site.

Auto-conservation, plateforme ou courtier : où votre argent est plus en sécurité après le piratage de Floin

Aucun endroit n’est sans risque, les risques diffèrent. Sur une plateforme, vous supportez le risque du prestataire, dans votre propre portefeuille le vôtre, et chez un courtier, vous achetez le plus souvent non pas des cryptos, mais un produit financier sur leur cours.

L’auto-conservation vous rend indépendant de Floin, de Binance et de toute autre plateforme, mais seul responsable. Avec le portefeuille logiciel Atomic Wallet, des utilisateurs ont perdu plus de 100 millions de dollars en juin 2023 selon Elliptic, qui y voit la main du groupe nord-coréen Lazarus. En janvier 2025, des malfaiteurs ont enlevé en France le cofondateur de Ledger David Balland pour extorquer une rançon en crypto, comme l’a rapporté The Local. Et une influenceuse a montré le 30 octobre à quel point une seule erreur suffit, en publiant sa clé privée au lieu de l’adresse du contrat : le memecoin de Mika vidé en 81 secondes.

Pour conserver vous-même vos cryptos, il vous faut un portefeuille matériel et une phrase de récupération correctement sauvegardée. La marche à suivre figure dans notre guide Conserver ses cryptos en sécurité, et nous comparons les appareils dans notre comparatif des portefeuilles matériels.

Un courtier réglementé plutôt qu’une plateforme crypto : ce que propose XTB

Une alternative après des semaines comme celle-ci : un compte-titres chez un courtier réglementé, avec actions, ETF et or, et la crypto seulement en complément. XTB en est un exemple. XTB S.A. est placée sous la surveillance de l’autorité polonaise de supervision financière KNF, et sa succursale allemande en outre sous celle de la BaFin. Selon XTB, les fonds des clients sont conservés séparément du patrimoine du courtier et n’entrent pas dans sa masse en cas d’insolvabilité ; les liquidités non investies sont protégées jusqu’à 20 100 euros par le système d’indemnisation polonais KDPW. L’offre comprend des actions et plus de 2 300 ETF ; l’or et les cryptomonnaies s’y négocient sous forme de CFD.

Pour la crypto, cela signifie qu’avec un CFD, vous ne possédez pas de bitcoin, ne pouvez pas le transférer vers un portefeuille ni le conserver vous-même. Vous pariez sur le cours. En contrepartie, il n’y a pas d’adresse de dépôt susceptible d’être piratée. L’avertissement obligatoire de XTB, au 31 octobre 2026 : les CFD sont des instruments complexes et présentent un risque élevé de perte rapide en capital en raison de l’effet de levier. 77 % des comptes d’investisseurs particuliers perdent de l’argent en négociant des CFD avec ce fournisseur. Vous devez vous demander si vous comprenez le fonctionnement des CFD et si vous pouvez vous permettre de prendre le risque élevé de perdre votre argent.

Offre jusqu’au 30 novembre 2026 : les nouveaux clients reçoivent chez XTB une action privilégiée Porsche gratuite, dans la limite des 5 000 premiers. Il faut déposer au moins 50 euros dans les 7 jours suivant l’ouverture du compte et accepter les conditions de l’offre dans l’application. S’y ajoute, jusqu’au 31 décembre 2026, un taux de bienvenue allant jusqu’à 4,5 % par an sur les liquidités disponibles jusqu’à 20 000 euros, pendant les 90 premiers jours et à condition d’effectuer au moins une transaction sur actions ou ETF par mois. Accéder à l’offre Porsche de XTB (lien partenaire). Le comportement du courtier au quotidien est décrit dans notre avis sur XTB, et les alternatives dans notre comparatif des courtiers crypto.

Ce que les clients de Floin devraient faire maintenant

1. Ne rien envoyer aux adresses Floin. Vérifiez les plans d’épargne, ordres permanents et adresses de retrait enregistrées sur d’autres plateformes et portefeuilles, et supprimez-y les adresses Floin.
2. Se méfier de l’hameçonnage. Les piratages sont suivis de faux courriels proposant de prétendus formulaires de remboursement ou contacts d’assistance. Selon ses propres dires, Floin n’informe que via son site et ne répond à aucune demande individuelle. Ne saisissez nulle part votre phrase de récupération ou votre mot de passe.
3. Sauvegarder l’état des lieux. Conservez les relevés de compte, justificatifs de transaction et captures d’écran dont vous disposez déjà. Vous en aurez besoin pour d’éventuelles réclamations et pour votre déclaration d’impôt.
4. Changer de mot de passe si vous utilisez aussi votre mot de passe Floin ailleurs, et y vérifier l’authentification à deux facteurs.
5. Connaître l’autorité compétente. Floin relève de l’autorité des marchés financiers du Liechtenstein, auprès de laquelle vous pouvez déposer une réclamation.

Ceux qui utilisent depuis mars un portefeuille en auto-conservation dans l’application Floin détiennent eux-mêmes les clés, selon la description de Floin. Le message ne dit pas si ces portefeuilles sont touchés par l’attaque ; l’avertissement contre les dépôts s’applique sans distinction à toutes les adresses de portefeuille Floin.

Analyse : un agrément MiCA ne protège pas des piratages

Un agrément MiCA atteste qu’un prestataire doit respecter des règles en matière de conservation, de capital et de responsabilité, et qu’il est supervisé. Il n’atteste pas qu’il ne peut pas être attaqué. Cela vaut pour Floin comme pour toute grande plateforme.

Le véritable test pour Floin commence maintenant : la rapidité avec laquelle l’entreprise dira ce qui s’est passé, si des actifs de clients sont touchés et quand les retraits reprendront. Plus ces réponses tardent, plus se justifie la répartition recommandée après le piratage de Binance : ce que vous négociez reste sur une plateforme réglementée, ce que vous détenez à long terme sur votre propre portefeuille matériel, et qui veut seulement profiter de l’évolution du cours peut aussi passer par un compte-titres chez un courtier. CryptoTicker a demandé le 31 octobre à Floin une prise de position sur la situation ; dès qu’elle nous parviendra, nous la publierons ici, de même que les nouvelles informations de la page d’état.

Transparence : l’éditeur de CryptoTicker détient chez Floin un compte client qui n’est pas utilisé activement ; c’est par ce biais qu’est parvenu le message du 31 octobre.

(Au 31 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)