Fuite de données Pocket Bitcoin : quand nom, adresse du domicile et adresse Bitcoin circulent ensemble

Chez le prestataire suisse Pocket Bitcoin, les données de 5 411 clientes et clients ont été exposées, selon la présentation de l'entreprise. Pour 291 d'entre eux, le relevé du prestataire indique que figuraient aussi les adresses Bitcoin utilisées pour leurs achats, ainsi que des copies de pièces d'identité et des justificatifs sur l'origine des fonds. C'est précisément cette combinaison qui dépasse le cas particulier : un nom placé à côté d'une adresse Bitcoin ne peut pas être repris, car la chaîne de blocs conserve chaque mouvement de cette adresse à la vue de tous.

Les cryptomonnaies elles-mêmes ne sont pas touchées, selon l'entreprise. L'incident mérite pourtant d'être lu par quiconque achète du Bitcoin auprès d'un prestataire et se le fait verser sur son propre portefeuille. Car ce même appariement entre données d'identité et adresse de réception naît à chaque achat, à chaque retrait et à chaque validation d'adresse, en Allemagne aussi. L'incident montre ce qu'il en advient une fois qu'il quitte la maison.

Ce qui s'est passé lors de la fuite de données de Pocket Bitcoin

Pocket Bitcoin est un prestataire suisse qui convertit les virements bancaires entrants en Bitcoin et envoie les cryptomonnaies directement au portefeuille de la cliente ou du client. L'entreprise ne conserve, selon sa propre présentation, aucune clé ; il s'agit d'un service dit non dépositaire. Non dépositaire signifie que le prestataire ne peut plus disposer des cryptomonnaies après le versement, la clé privée restant chez l'utilisateur.

L'entreprise a rendu l'incident public pour la première fois le 21 août 2026. Un point d'étape détaillé a suivi le 31 août, que Pocket Bitcoin a encore révisé le 3 septembre 2026, clôturant ainsi l'enquête. Cette dernière version porte le chiffre qui redimensionne l'incident : 5 411 personnes concernées au lieu du groupe plus restreint annoncé au départ. Cela se lit dans le Security Incident Update de l'entreprise.

Le prestataire désigne son système d'assistance comme porte d'entrée. S'y trouvaient des documents nés des échanges avec des banques partenaires. La faille aurait depuis été refermée. L'incident a été signalé au Préposé fédéral à la protection des données et à la transparence en Suisse ainsi qu'au service de protection des données du Liechtenstein ; l'entreprise a en outre déposé plainte.

Qui est concerné : 5 120 clients avec des mouvements de compte, 291 avec des copies de pièces d'identité

L'entreprise distingue deux groupes, et cette différence importe davantage, pour apprécier le risque, que le total général.

Le groupe le plus large compte 5 120 personnes. Sont ici concernées des listes de transactions que le prestataire avait reçues de banques partenaires. Elles contiennent des noms, des adresses ainsi que des virements individuels avec montant et date, et pour une partie des personnes concernées également l'IBAN. Qui figure dans ce groupe voit son historique d'achats exposé en euros ou en francs, mais sans lien avec une adresse Bitcoin précise.

Le groupe plus restreint compte 291 personnes et pèse plus lourd. Il s'agit ici de correspondances adressées à des banques partenaires. D'après le relevé de l'entreprise, elles pouvaient contenir des noms, des adresses postales, les adresses Bitcoin utilisées pour les transactions, des copies de documents d'identité et des justificatifs sur l'origine des fonds, selon des combinaisons variables. Un justificatif d'origine des fonds est une pièce par laquelle un prestataire documente la provenance de l'argent versé, par exemple un bulletin de salaire ou un contrat de vente.

Ces 291 enregistrements constituent le véritable cœur de l'incident. Tout le reste peut être contenu par les moyens habituels : un IBAN exposé se change, une pièce d'identité se refait, une adresse change au prochain déménagement. Une adresse Bitcoin une fois reliée à un nom reste reliée.

Suis-je concerné par la fuite de données de Pocket Bitcoin ? Comment le reconnaître

Selon la présentation de l'entreprise, toutes les personnes concernées ont été contactées individuellement, avec une description de ce qui avait été exposé dans chaque cas. Qui n'a pas reçu un tel message personnel ne figure, suivant cette logique, sur aucune des deux listes. Cette information émane du prestataire lui-même ; il n'existe pas de liste de vérification indépendante dans laquelle on pourrait rechercher sa propre adresse.

Concrètement, cela signifie : regardez dans la boîte de réception que vous avez déclarée chez le prestataire, y compris le dossier des indésirables et l'onglet des promotions. Vérifiez la date. Une notification datant de la semaine qui a suivi le 3 septembre 2026 relève de l'enquête close ; une notification plus ancienne, d'août, relève du premier point d'étape, qui annonçait le chiffre plus faible. Les deux cas peuvent concerner la même personne, avec une ampleur différente.

Ce qu'il ne faut jamais faire à cette occasion : suivre un lien qui vous invite à saisir une phrase de récupération. Aucun prestataire sérieux ne la demande, et Pocket Bitcoin le précise expressément dans sa communication. Il en va de même pour toute injonction à déplacer un avoir vers une adresse tierce, par sécurité.

Ce qu'une adresse Bitcoin exposée révèle de votre avoir

Ce qu'est une adresse Bitcoin

Une adresse Bitcoin est une suite de caractères vers laquelle des cryptomonnaies sont envoyées. Ce n'est ni un compte ni un secret, mais une coordonnée de réception publique, comparable à un numéro de compte dont chacun pourrait consulter toutes les écritures. C'est précisément là que réside la différence avec un compte bancaire : à la banque, seul celui qui a un accès voit les mouvements. Dans la chaîne de blocs, tout le monde les voit, durablement et sans identification.

Qui connaît une adresse peut consulter dans n'importe quel explorateur de chaîne de blocs le montant qui s'y trouve, les dates des entrées et des sorties, et la destination suivante des fonds. Tant que personne ne sait à qui appartient l'adresse, c'est une suite de chiffres anonyme parmi des millions d'autres. Qu'un nom s'y ajoute et l'appréciation bascule. La suite de chiffres devient un état de fortune horodaté.

Pour les 291 enregistrements, cette attribution existe précisément. Ce que l'on y voit réellement dépend de ce que la personne concernée a fait depuis. Qui n'a jamais déplacé les cryptomonnaies reçues voit son avoir figurer visiblement sur l'adresse. Qui les a transférées a allongé la piste, sans y mettre fin.

Pourquoi changer d'adresse ne coupe la piste qu'à moitié

La réaction immédiate consiste à dire : envoyer les cryptomonnaies vers une nouvelle adresse, et l'affaire est réglée. Ce n'est pas si simple. Un virement dans la chaîne de blocs n'efface pas l'ancien lien, il en accroche un nouveau. Qui connaît l'ancienne adresse voit le départ des fonds et voit aussi l'adresse de réception. L'attribution suit le mouvement.

Ce que signifie le contrôle des pièces

Le contrôle des pièces, ou coin control, est la possibilité de choisir dans un portefeuille quels avoirs individuels seront employés pour un paiement. L'utilité tient à la séparation : qui ne réunit jamais, dans une transaction commune, des cryptomonnaies provenant d'une adresse exposée avec des cryptomonnaies d'autres sources empêche un observateur d'attribuer les deux avoirs à la même personne. Si elles sont dépensées ensemble, en revanche, l'analyse de chaîne retient l'hypothèse évidente qu'elles appartiennent à une même main.

Pour les personnes concernées, cela signifie concrètement : tenir les avoirs séparés et les dépenser séparément. Créer un nouveau portefeuille doté de sa propre phrase de récupération et n'y diriger que les achats à venir sépare proprement l'avenir du passé. Les portefeuilles qui proposent réellement le contrôle des pièces diffèrent sensiblement ; lesquels et à quoi les reconnaître figure dans le comparatif des portefeuilles logiciels.

L'appréciation honnête compte : aucune de ces mesures n'annule une attribution une fois publiée. Elle limite ce qui viendra s'y ajouter. Qui en attend un anonymat complet surestime l'outil.

Ce qui n'a pas été touché : clés privées, base clients, avoirs

Dans sa communication, l'entreprise énumère expressément les systèmes qui n'ont pas été compromis selon les résultats de l'enquête : la base de données clients contenant les données d'identité, la base de données des transactions et les accès système. Les clés privées n'ont à aucun moment quitté l'appareil des utilisateurs, le service ne les détenant pas du tout par construction. Un accès aux avoirs n'est donc pas possible par cette voie. Aucun usage abusif des données exposées n'est décelable à ce jour, écrit le prestataire.

Cette distinction n'est pas un enjolivement, mais la différence entre deux tableaux de dommages très différents. Chez une plateforme d'échange dépositaire, une attaque contre la base clients aurait porté directement sur les avoirs. Ici, l'avoir se trouve hors de portée du prestataire, et le dommage est un dommage de données. Il touche la vie privée et crée une surface d'attaque pour la fraude, non pour un vol d'un clic de souris.

Le prix de cette architecture figure de l'autre côté du bilan. Qui détient lui-même ses cryptomonnaies porte aussi la responsabilité de leur sauvegarde. La validation d'adresse par laquelle un versement est configuré est en outre précisément l'opération au cours de laquelle naît l'appariement de données exposé ici.

Reconnaître les faux courriers après une fuite de données

L'entreprise met ses clients en garde contre de faux courriers et d'autres envois postaux. La raison tient à la nature des données exposées. Qui connaît un nom, une adresse, un montant de virement et une date peut rédiger un courrier citant correctement une transaction réelle. Disparaît alors le signe distinctif auquel on reconnaît le plus facilement, d'ordinaire, une tentative de fraude : l'ignorance de l'expéditeur.

Points de contrôle utiles pour tout courrier concernant votre compte crypto :

• Un code QR invitant à la récupération, à la sauvegarde ou à la migration d'un portefeuille est une attaque. Aucune démarche légitime ne commence ainsi.
• La pression temporelle dans l'objet, ou un délai de quelques jours, est un signal d'alerte, surtout lorsqu'un blocage est annoncé.
• Un virement correctement cité ne prouve plus rien depuis que ces données sont exposées. Ne le traitez pas comme une preuve d'authenticité.
• Les questions passent par un canal que vous avez choisi vous-même : l'adresse du prestataire saisie dans le navigateur, ou un numéro de téléphone tiré de vos propres documents.
• Un formulaire réclamant une phrase de récupération, que ce soit par courrier, par formulaire ou par téléphone, est toujours frauduleux.

À quel point de tels courriers paraissent désormais professionnels, le montre le cas que nous avons décrit sous l'hameçonnage de portefeuilles crypto par courrier. L'injonction y arrivait sur papier imprimé, avec une apparence d'entreprise, et non par courriel.

Adresse du domicile et montant d'achat : le risque physique

Face aux fuites de données dans l'univers crypto, on pense d'abord aux conséquences numériques. La conséquence la plus désagréable est ailleurs. Une liste réunissant des noms, des adresses de domicile et des montants de virement est une liste d'adresses classable par patrimoine. La même inquiétude concernait déjà en août les données d'acheteurs de deux fabricants de portefeuilles matériels, échappées par l'intermédiaire d'un prestataire d'expédition ; à lire dans notre article sur la fuite de données Trezor.

La différence avec ces affaires : là, la commande révélait que quelqu'un avait acheté un portefeuille matériel, donc qu'il détenait vraisemblablement des cryptoactifs. Ici, le montant figure à côté. C'est une information nettement plus précise, et c'est la raison pour laquelle les personnes concernées ne devraient pas balayer ce point comme exagéré.

Ce qui aide est peu spectaculaire et fonctionne pourtant. Ne parlez pas de vos avoirs chez vous ni dans votre cercle d'amis. Ne laissez pas le matériel et les copies de sauvegarde à l'endroit attendu. Qui conserve une phrase de récupération dans un lieu distinct de l'appareil a déjà fait l'essentiel contre un cambriolage.

Quels droits vous donne le RGPD, et où s'applique le délai de dix ans

Toute personne concernée dispose d'un droit d'accès auprès de l'entreprise responsable : sur demande, celle-ci doit indiquer quelles données à caractère personnel elle traite et lesquelles ont été exposées dans le cas d'espèce. C'est la première démarche la plus sensée, car ce n'est qu'ensuite que l'on peut juger si une adresse Bitcoin était en jeu ou seulement un mouvement de compte.

Le second point déçoit beaucoup de monde. Une demande d'effacement reste régulièrement sans effet chez les prestataires financiers, les obligations légales de conservation primant. Pocket Bitcoin renvoie lui-même, dans sa communication, à l'obligation de conserver dix ans après la clôture d'une transaction les données relatives aux clients et aux transactions. Cette obligation est le prix de la réglementation, et elle vaut par analogie pour tout prestataire agréé dans l'Union européenne.

Chez un prestataire suisse, l'autorité compétente est le Préposé fédéral à la protection des données et à la transparence, et non une autorité régionale allemande de protection des données. Les personnes concernées résidant dans l'Union européenne peuvent néanmoins s'adresser d'abord à leur autorité nationale, qui transmettra le dossier. Qui envisage une réclamation devrait conserver la notification de l'entreprise ; elle constitue la preuve d'avoir été concerné.

Ce que les investisseurs allemands devraient maintenant vérifier chez leur propre prestataire

L'incident concerne les clients d'un prestataire suisse. L'appariement de données dont il est question naît toutefois partout. Chaque plateforme d'échange et chaque courtier enregistre les adresses de retrait de ses clients, le plus souvent dans le carnet d'adresses de la fonction de versement, souvent de manière durable. Avec les données d'identité issues de l'ouverture de compte, chaque prestataire détient ainsi exactement l'attribution qui s'est échappée ici. Depuis le 1er janvier 2026 s'ajoute l'obligation de déclaration fiscale, qui met de toute façon en mouvement ces mêmes données d'identité.

Quatre vérifications qui se règlent en une demi-heure :

1. Passer le carnet d'adresses en revue. Connectez-vous chez votre prestataire et ouvrez la liste des adresses de retrait enregistrées. Tout ce dont vous n'avez plus besoin peut être supprimé. Cela réduit le nombre d'adresses susceptibles, le cas échéant, d'être rattachées à votre nom.
2. Ne pas réutiliser les adresses. Si vous employez la même adresse pour chaque retrait, l'ensemble de votre avoir s'accumule en un point connu du prestataire. Les portefeuilles modernes génèrent une nouvelle adresse à chaque réception ; utilisez cette fonction plutôt que de retaper sans cesse une adresse notée une fois pour toutes.
3. Fixer le canal de contact. Enregistrez vous-même le point de contact officiel de votre prestataire. Qui n'a pas à chercher en cas d'urgence ne clique pas non plus sur le premier lien venu dans un courriel.
4. Vérifier la sauvegarde. Votre phrase de récupération est-elle conservée séparément de l'appareil, et savez-vous avec certitude qu'elle est complète et lisible ? Une fuite de données n'y change rien, mais elle augmente la probabilité que quelqu'un tente sa chance chez vous.

Une remarque pour situer les choses : chez un service non dépositaire comme dans le cas présent, l'avoir reste entre vos mains même en cas de dommage sur les données. C'est un avantage structurel par rapport au stockage durable sur une plateforme d'échange, et il pèse plus lourd que la différence de confort. Qui achète régulièrement et retire les cryptomonnaies à chaque fois devrait choisir les prestataires selon qu'ils prennent en charge ou non les versements automatiques vers le portefeuille personnel.

Fuite de données Pocket Bitcoin : ce qu'il faut retenir

1. Vérifiez si une notification personnelle vous est parvenue et lisez-la pour savoir si une adresse Bitcoin y est mentionnée. Ce n'est qu'alors que l'attribution critique existe. Si une adresse est concernée, transférez vos achats futurs sur un portefeuille nouvellement créé et ne réunissez pas anciens et nouveaux avoirs dans une même transaction. Quels portefeuilles prennent proprement en charge cette séparation, le comparatif des portefeuilles logiciels le montre.
2. Traitez désormais tout courrier relatif à votre compte crypto comme non vérifié, même s'il cite correctement un virement réel. Les questions passent uniquement par des canaux que vous avez choisis. Et rangez votre copie de sauvegarde de sorte qu'elle survive à un cambriolage ; les différences entre les appareils figurent dans le comparatif des portefeuilles matériels.
3. Examinez le carnet d'adresses de votre propre prestataire, que vous soyez ou non client du service touché. Qui se fait verser automatiquement ses fonds sur son propre portefeuille réduit la trace de données à chaque achat ; quels prestataires le proposent figure dans le comparatif des plans d'épargne.

L'enquête du prestataire est close et, d'après ses indications, aucun usage abusif n'est décelable à ce jour. Pour les personnes du groupe restreint, l'affaire ne s'achève pourtant pas là, car l'attribution de leur nom et de leur adresse est dans la nature. Une synthèse indépendante des chiffres se trouve chez crypto.news.

(Au 4 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)