Cinq des neuf avertissements de la BaFin citent la loi KMAG sur les marchés de crypto-actifs : « Il s’agit d’une usurpation d’identité »

La loi allemande sur la surveillance des marchés de crypto-actifs, en abrégé KMAG, est le texte par lequel l’Allemagne fait appliquer le règlement européen sur les marchés de crypto-actifs. Pour vous, en tant que client, elle a une conséquence très concrète : quiconque propose des services sur crypto-actifs en Allemagne doit disposer d’un agrément, et l’Autorité fédérale de supervision financière peut citer publiquement le nom des prestataires qui n’en ont pas. C’est précisément ce que fait l’autorité en ce moment, presque chaque jour.

Fin septembre et début octobre, la BaFin a publié neuf communications aux consommateurs sur des activités non autorisées en l’espace de quatre jours. Cinq d’entre elles portent sur des services sur crypto-actifs, et cinq se concluent en citant expressément l’« article 37, paragraphe 4, de la loi sur le crédit, article 10, paragraphe 7, de la loi sur la surveillance des marchés de crypto-actifs ». Cette seule ligne au bas des communications constitue le véritable constat : le jeune droit allemand de la supervision des crypto-actifs a quitté le service des agréments pour entrer dans l’avertissement au consommateur.

La loi KMAG est la mise en oeuvre allemande du règlement MiCA

La KMAG date du 27 décembre 2024 et figure au Journal officiel fédéral 2024, partie I, sous le numéro 438. Elle a été modifiée pour la dernière fois le 25 mars 2026. Son premier article dit en une phrase à quoi elle sert : elle « sert à la mise en oeuvre du règlement (UE) 2023/1114 », c’est-à-dire du règlement sur les marchés de crypto-actifs connu sous le nom de MiCA.

La répartition des rôles qui se cache derrière compte pour bien saisir le dossier. Le règlement européen prescrit ce qui s’applique : quel agrément il faut à un prestataire, quelles obligations lui incombent, quelles informations il doit publier. La KMAG règle qui fait appliquer tout cela en Allemagne, et avec quels moyens. Le règlement s’applique directement dans toute l’Europe ; la loi met les outils entre les mains de la BaFin.

Pourquoi la loi porte un nom propre alors que MiCA s’applique directement

Un règlement européen produit ses effets sans loi nationale de transposition, mais il ne contient aucune règle de procédure allemande. Qui prend une décision, comment la contester devant le juge, quelles amendes sont possibles, quand une autorité peut s’adresser au public : tout cela doit être écrit par le législateur national. La KMAG est ce complément. Elle est entrée en vigueur en tant qu’article 1er de la loi sur la numérisation des marchés financiers et a remplacé les règles relatives aux crypto-actifs qui figuraient jusque-là dans la loi sur le crédit, sous l’intitulé « activité de conservation de crypto-actifs ».

L’article 10, paragraphe 7, de la KMAG autorise la BaFin à nommer une entreprise en public

La disposition sur laquelle s’appuient les avertissements est intitulée « Poursuite des activités non autorisées ». La première phrase du paragraphe 7 se lit ainsi : « Dans la mesure et aussi longtemps que des faits justifient la présomption, ou qu’il est établi, qu’une entreprise exerce des activités non autorisées au sens de l’article 9, paragraphe 1, première phrase, l’Autorité fédérale peut informer le public de la présomption ou de ce constat en citant le nom ou la raison sociale de l’entreprise. »

Trois éléments méritent d’être gardés en tête lorsque vous lisez un tel avertissement.

Premièrement, une présomption suffit. La BaFin n’a pas à attendre la décision d’un tribunal ; des faits qui justifient la présomption lui suffisent. C’est pourquoi les communications portent presque toujours la formule « il existe une présomption » et non l’affirmation que quelqu’un aurait commis une fraude.

Deuxièmement, la disposition vise aussi les sociétés qui n’exercent aucune activité mais font comme si. La deuxième phrase du paragraphe précise que le même pouvoir s’applique lorsqu’une entreprise « n’exerce pas les activités non autorisées mais donne au public l’apparence correspondante ». Cela touche les fausses plateformes, celles qui se contentent de collecter des coordonnées.

Troisièmement, la procédure n’est pas unilatérale. La troisième phrase dispose : « Avant la décision visée à la première ou à la deuxième phrase, l’entreprise doit être entendue. » Un avertissement se situe donc au terme d’une procédure administrative. Lorsque la BaFin ne joint personne parce que nul n’est identifiable derrière un site, la communication les désigne simplement comme « les exploitants inconnus ».

Cinq des neuf communications aux consommateurs publiées en quatre jours portent sur des services sur crypto-actifs

Entre le 28 septembre et le 1er octobre 2026, la BaFin a publié neuf communications aux consommateurs sur des activités non autorisées. Le décompte effectué dans le texte intégral de chacune d’elles donne le tableau suivant :

• Cinq communications citent expressément la notion de « services sur crypto-actifs ».
• Cinq communications mentionnent en bas de page la loi sur la surveillance des marchés de crypto-actifs comme base juridique.
• Quatre d’entre elles font les deux ; les deux ensembles ne se recouvrent donc pas entièrement.
• Trois dossiers décrivent une usurpation d’identité au détriment d’une entreprise réellement existante.

Que les deux groupes de cinq ne coïncident pas n’est pas une erreur de calcul, mais un signe instructif. Dans la communication consacrée à btcx(.)investments du 29 septembre, le texte parle d’opérations bancaires et de services financiers, tandis que la base juridique au bas de page nomme malgré tout la loi sur la surveillance des marchés de crypto-actifs. À l’inverse, la communication relative à staublicapital(.)com, publiée le même jour, énumère les services sur crypto-actifs dans sa partie générale mais ne s’appuie pas sur la KMAG. L’autorité est encore en train de trier, ce qui est attendu pour un cadre juridique qui n’a pas deux ans.

Le dossier bitbucks(.)space : usurpation d’identité au détriment d’une société de Stuttgart

Le plus intéressant des cinq dossiers est celui du 30 septembre. Dans sa communication aux consommateurs, la BaFin met en garde contre les offres proposées sur le site bitbucks(.)space et écrit : « Il existe une présomption selon laquelle les exploitants inconnus du site bitbucks(.)space proposent sans agrément des services financiers et des services d’investissement ainsi que des services sur crypto-actifs. »

Vient ensuite la phrase qui distingue ce dossier d’un faux courtier ordinaire : « Contrairement aux indications des exploitants, il n’existe aucun lien avec la société Frank und Freunde GmbH, dont le siège est à Stuttgart. Il s’agit d’une usurpation d’identité. » La BaFin constate expressément que cette société n’a aucun lien avec le site ni avec les services qui y sont proposés.

La distinction est importante, et elle vaut dans les deux sens. Selon la présentation de l’autorité, l’entreprise de Stuttgart citée est, dans cette affaire, la partie lésée et non la partie mise en cause. Pour vous, cela signifie : le nom d’une société sur un site, les mentions légales et même une véritable inscription au registre du commerce ne disent rien de celui qui exploite réellement la page. Nous avions déjà observé un schéma comparable en août, lorsque la BaFin a mis en garde contre un prestataire se servant d’une identité d’entreprise empruntée.

Vingt-huit sites presque identiques servent, selon la BaFin, à l’approche commerciale

La veille du dossier BitBucks, le 29 septembre, la BaFin a désigné d’un coup toute une série de sites. La communication indique que les exploitants inconnus y proposaient sans agrément des services sur crypto-actifs et que les pages ne disposaient d’aucunes mentions légales valables. Les personnes intéressées étaient invitées à saisir leurs données dans un formulaire de contact, et ces données clients étaient ensuite transmises à des exploitants de plateformes de négociation en ligne non autorisées.

Cette seule communication énumère 28 adresses, d’altrevia-ai(.)click à zylkex(.)online en passant par blitzkapitenz(.)live. Plusieurs noms apparaissent avec deux ou trois extensions différentes. Le schéma derrière tout cela est bon marché et efficace : un modèle est dupliqué, chaque copie reçoit un nom de fantaisie inédit, et dès qu’une adresse est grillée, l’afflux passe par la suivante.

Ce que signifie concrètement un site sans mentions légales valables

En Allemagne, les mentions légales sont obligatoires pour les sites à usage commercial. Si elles manquent ou si elles comportent des indications inventées, vous n’avez personne à assigner en cas de litige et aucune adresse à laquelle signifier un acte. Que l’autorité mentionne ce point à part dans sa communication n’est donc pas un formalisme. Cela décrit l’état dans lequel se trouve votre argent après un versement.

L’agrément transitoire de l’article 50 de la KMAG a expiré le 31 décembre 2025

Au lancement des nouvelles règles, il y avait un délai de grâce. L’article 50 de la KMAG autorisait les entreprises qui, au 29 décembre 2024, pouvaient exercer des activités sur crypto-actifs sous l’ancien droit à poursuivre dans un premier temps leur activité ; l’ancien agrément était réputé « subsister dans cette mesure ». Étaient concernés, entre autres, les établissements titulaires d’un agrément au titre de l’article 32 de la loi sur le crédit, les entreprises d’investissement et les prestataires de services de paiement.

Cette période transitoire est révolue. Le paragraphe 2 de l’article énonce trois motifs d’extinction, et le troisième est une date de calendrier sans appel : l’agrément maintenu expire « au plus tard à la fin du 31 décembre 2025 ». Depuis le 1er janvier 2026, il n’existe donc plus en Allemagne de régime applicable aux situations antérieures. Quiconque propose aujourd’hui des services sur crypto-actifs doit détenir l’agrément prévu par le règlement MiCA, faute de quoi il travaille sans autorisation.

Pour le paysage des prestataires, la rupture a été sensible, et elle explique pourquoi les avertissements se multiplient précisément maintenant. Les obligations qui en ont découlé pour les entreprises, nous les avons rassemblées dans notre panorama de l’agrément MiCA.

Dix services relèvent de la notion de service sur crypto-actifs

Service sur crypto-actifs est une notion juridique définie et non une périphrase. À son article 3, le règlement MiCA énumère exactement dix services et activités :

1. La conservation et l’administration de crypto-actifs pour le compte de clients
2. L’exploitation d’une plateforme de négociation de crypto-actifs
3. L’échange de crypto-actifs contre des fonds
4. L’échange de crypto-actifs contre d’autres crypto-actifs
5. L’exécution d’ordres sur crypto-actifs pour le compte de clients
6. Le placement de crypto-actifs
7. La réception et la transmission d’ordres sur crypto-actifs pour le compte de clients
8. Le conseil en crypto-actifs
9. La gestion de portefeuille de crypto-actifs
10. La fourniture de services de transfert de crypto-actifs pour le compte de clients

Cette liste explique pourquoi presque tout prestataire chez qui vous pouvez acheter, échanger ou simplement laisser du Bitcoin tombe sous l’obligation d’agrément. Le simple échange d’euros contre un crypto-actif constitue déjà le numéro trois de la liste. Une plateforme qui conserve en plus des avoirs fournit au moins deux de ces services à la fois. Un panorama des lieux de négociation titulaires d’un agrément dans l’Union figure dans notre comparatif des plateformes crypto réglementées.

Où s’arrête l’obligation d’agrément

Tout logiciel n’est pas un prestataire. Un portefeuille qui fonctionne exclusivement sur votre appareil et dont vous êtes seul à connaître les clés ne conserve juridiquement rien pour vous, puisque personne d’autre n’a le contrôle des clés. Dès qu’une entreprise contrôle l’accès, la lecture change. Où passe exactement cette limite, nous l’avons détaillé à partir de l’exemple de l’obligation d’agrément des applications de portefeuille.

La base de données des entreprises de la BaFin est le registre officiel des agréments

Chacune des neuf communications renvoie en conclusion au même endroit : la base de données des entreprises de la BaFin, où l’on peut vérifier si une entreprise déterminée est agréée par l’autorité. Ce registre officiel est librement accessible et gratuit.

En complément, l’article 14 de la KMAG impose à la BaFin de publier au Bundesanzeiger l’octroi et le retrait d’un agrément pour la fourniture de services sur crypto-actifs. Il existe donc deux traces officielles : l’inscription dans la base comme indicateur d’état et la publication comme événement. Un moteur de recherche, un portail d’avis ou une indication dans un groupe de discussion ne constituent pas une troisième trace.

Un mode opératoire détaillé pour interroger la base, avec les pièges habituels, figure dans notre guide sur les avertissements de la BaFin et la vérification d’un prestataire.

Un agrément couvre la supervision, ni les pertes de cours ni un site contrefait

Le dossier BitBucks montre très clairement la limite de cet outil. Une inscription dans la base de données des entreprises indique qu’une entreprise déterminée détient une autorisation déterminée. Elle ne dit rien de la question de savoir si le site sur lequel vous vous trouvez appartient à cette entreprise. Celui qui copie un véritable nom de société produit dans la base un résultat qui n’a rien à voir avec son offre.

C’est pourquoi la vérification comporte toujours une deuxième étape : le chemin va de la base de données vers le site de l’entreprise, et non l’inverse. Si la base indique une adresse à Stuttgart tandis que la page sur laquelle vous devez verser se trouve sous un domaine de fantaisie dépourvu de mentions légales, alors l’inscription ne correspond pas à l’offre.

Le véritable agrément n’est pas davantage une garantie pour votre argent. Derrière lui se trouvent une supervision continue, des exigences de fonds propres et d’organisation ainsi que des obligations de déclaration. Une promesse de hausse des cours n’en fait pas partie, pas plus que l’assurance qu’une entreprise ne deviendra jamais insolvable. Une garantie des dépôts pour les avoirs en crypto-actifs n’existe de toute façon pas en Allemagne.

Audition et rectification : la procédure derrière un avertissement de la BaFin

Parce qu’une mise en cause publique peut frapper durement une entreprise, le législateur a prévu des contrepoids. Avant la décision, l’entreprise doit être entendue. Si les faits communiqués par l’autorité se révèlent par la suite inexacts, ou si les circonstances ont été rapportées de manière erronée, la disposition prévoit que l’autorité en informe le public de la même manière.

Pour situer un avertissement, cela signifie : une telle communication est l’expression officielle d’une présomption dans une procédure encadrée, non une constatation judiciaire ni un jugement porté sur des personnes. Un traitement journalistique sérieux reprend donc l’attribution. Lorsque ce texte indique qu’une présomption pèse sur les exploitants d’un site, il s’agit de la présomption de la BaFin.

L’article 45 de la KMAG règle l’attribution des crypto-actifs conservés en cas d’insolvabilité

Une partie de la loi rarement évoquée concerne le cas le plus désagréable. Le chapitre 6 de la KMAG contient des dispositions pour des situations particulières, dont l’article 44 sur l’insolvabilité et l’article 45 sur l’« attribution des crypto-actifs conservés » et sur les frais de distraction. Derrière cela se pose la question de savoir si les crypto-actifs qu’un conservateur agréé détient pour vous entrent dans la masse en cas d’insolvabilité ou restent attribués à vous.

Que le législateur règle expressément ce point est un indice de ce que l’attribution va si peu de soi. Chez un prestataire sans agrément, la question ne se pose même pas sous cette forme, car ni la séparation des avoirs de la clientèle ni une supervision de celle-ci n’y sont assurées. Qui détient des montants importants dispose, avec une conservation en propre, d’une solution de rechange qui fonctionne indépendamment de la situation d’agrément d’un prestataire.

Loi KMAG : comment procéder maintenant

Trois étapes qui prennent quelques minutes et qui reproduisent l’ordre du dossier du 30 septembre.

1. D’abord la base de données, ensuite le site. Recherchez le nom de la société dans la base de données des entreprises de la BaFin et rendez-vous de là à l’adresse officielle de l’entreprise. Si vous cherchez simplement un lieu de négociation dont l’agrément dans l’Union est vérifiable, le comparatif des plateformes crypto réglementées sert de point de départ.
2. Confrontez l’offre et l’inscription. Le nom de la société, le siège et la nature de l’agrément doivent correspondre à ce qui vous est proposé. Un agrément pour le conseil en investissement ne couvre pas l’échange de crypto-actifs. Si vous souhaitez comparer la manière dont les prestataires établis présentent leur agrément et leurs frais, vous le trouverez dans notre panorama des plateformes de crypto-actifs.
3. Répartissez les avoirs dont vous n’avez pas besoin pour négocier. Un solde qui reste durablement chez un prestataire dépend de la survie de celui-ci. Une conservation en propre supprime cette dépendance ; les appareils et leurs différences figurent dans le comparatif des portefeuilles matériels.

La série d’avertissements de la fin septembre n’est pas un cas isolé et ne sera pas le dernier. Ce qui a changé, c’est le fondement : depuis que la loi sur la surveillance des marchés de crypto-actifs est en vigueur et que le délai transitoire a expiré, une obligation d’agrément claire se tient derrière chacune de ces communications. Cela simplifie la vérification pour vous, car il n’existe plus en Allemagne de zone grise dont un prestataire de crypto-actifs pourrait se prévaloir.

(Au 4 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)