Votre plateforme crypto vous demande de retirer vos fonds : reconnaître un phishing après l'échéance MiCA

Depuis le 1er juillet 2026, les prestataires de services sur crypto-actifs ne peuvent exercer dans l'Union européenne que s'ils disposent d'un agrément au titre du règlement MiCA. Ceux qui ne l'ont pas obtenu à cette date doivent liquider leur activité européenne et inviter leurs clients à retirer leurs avoirs. C'est précisément de là qu'est née une vague de fraude : des dizaines de milliers d'investisseurs en Europe reçoivent en ce moment, en toute légitimité, un message leur demandant de déplacer leur argent. Pour les délinquants, c'est la position de départ la plus confortable depuis des années, car leur propre demande n'a plus besoin d'être plausible. Il lui suffit d'avoir l'air authentique.

Les autorités de plusieurs États membres ont mis en garde ces derniers jours. Selon l'Autorité des marchés financiers (AMF), citée par la presse internationale les 5 et 6 août, les auteurs se font passer pour des agents d'autorités de supervision ou de plateformes agréées et enjoignent aux clients de prestataires non agréés de déplacer leurs avoirs de toute urgence. Stéphane Pontoizeau, en charge de ce domaine à l'AMF, estime, d'après ces mêmes sources, que la période actuelle offre aux escrocs une occasion plus favorable qu'à l'accoutumée. L'ESMA a également constaté, selon ces articles, que son propre nom et son logo sont détournés dans de tels courriers.

Ce texte est conçu comme un mode d'emploi : comment reconnaître une demande de retrait authentique, quels sont les deux registres nécessaires pour cela et comment procéder si votre prestataire liquide réellement son activité.

Pourquoi le phishing crypto fonctionne si bien depuis l'échéance MiCA

La fraude sur le marché des crypto-actifs repose d'ordinaire sur la capacité à convaincre une victime d'accomplir un geste qu'elle n'aurait jamais fait d'elle-même. Un inconnu écrit qu'un problème de sécurité impose de transférer immédiatement les avoirs vers un portefeuille sûr. Qui a déjà lu quelque chose à ce sujet se méfie, parce que la demande surgit de nulle part.

À l'été 2026, cette couche de protection a disparu. La demande ne surgit plus de nulle part : elle correspond à la procédure ordinaire ordonnée par le régulateur lui-même. D'après les articles consacrés à l'état du registre, environ 323 entreprises ont obtenu un agrément MiCA, tandis que plus de 1 700 autres doivent cesser leur activité européenne. Ces chiffres proviennent d'analyses menées fin juillet et évoluent en permanence, de nouveaux agréments s'ajoutant au fil des semaines. Selon notre propre dépouillement du registre, 21 inscriptions seulement correspondaient à des plateformes de négociation au sens strict, c'est-à-dire à des prestataires où les particuliers achètent et vendent effectivement. Le détail figure dans notre analyse du registre MiCA.

Il en résulte une fenêtre pendant laquelle un très grand nombre de personnes attendent simultanément un message légitime leur disant de déplacer leur argent. L'AMF indique avoir volontairement écarté des délais de liquidation trop courts, la pression du temps poussant les épargnants directement dans les bras des fraudeurs. Après cette semaine, c'est à nos yeux le point essentiel pour vous : une liquidation authentique vous laisse du temps. Si quelque chose vous presse, le signal d'alarme est déjà là.

À quoi ressemble une fausse demande de retrait

Les courriers dont disposent les autorités sont bien faits. Y sont décrits des sites reconstitués qui reprennent jusqu'à la mise en page d'un prestataire ou d'une autorité authentique, des documents portant des en-têtes et des numéros de dossier recopiés, des messages de prétendus agents publics ainsi que des instructions de virement vers des portefeuilles appartenant aux fraudeurs. S'y ajoutent des appels téléphoniques.

Ce qui frappe, c'est ce qui manque régulièrement dans ces courriers. Ils citent rarement le numéro de dossier d'une liquidation, ils ne renvoient à aucune inscription au registre que vous pourriez vérifier vous-même et ils ne vous offrent aucun moyen de joindre l'expéditeur de façon indépendante. En revanche, ils fournissent une adresse de destination et un motif de se hâter.

Une seconde variante est plus subtile. Au lieu d'une adresse de portefeuille, vous recevez le lien vers une plateforme prétendument agréée MiCA. Vous y ouvrez un compte, vous allez jusqu'à justifier votre identité, puis vous voyez vos avoirs s'afficher sous forme de chiffre sur une interface qui appartient aux exploitants. Les retraits échouent ensuite au motif de prétendues taxes. Cette version est la plus dangereuse, car elle reproduit le déroulé habituel d'une ouverture de compte.

Le test du registre : la plateforme crypto est-elle vraiment agréée MiCA ?

Une vérification suffit à régler la plus grande part de ces affaires, et elle vous coûte deux minutes : recherchez le prestataire dans un registre officiel, en passant par une adresse que vous saisissez vous-même plutôt que par un lien tiré du message.

La raison en est simple. Les escrocs peuvent envoyer n'importe quelle affirmation, reproduire n'importe quel logo et falsifier n'importe quelle page de confirmation. Ce qu'ils ne peuvent pas faire, c'est créer une inscription dans la base d'une autorité de supervision. Si un prestataire prétendument agréé n'y figure pas, l'affaire est tranchée, aussi convaincant que soit le courrier.

Le registre de l'ESMA : tous les agréments MiCA de l'Union

L'autorité européenne des marchés financiers tient le répertoire central de tous les prestataires agréés au titre de MiCA. Vous y voyez si une entreprise dispose d'un agrément, de quel État membre il émane et quels services il couvre. Un prestataire peut en effet être agréé sans que l'agrément porte sur l'ensemble de ses activités. Ouvrez le registre MiCA de l'ESMA et cherchez la raison sociale, non la marque. Beaucoup de plateformes se présentent sous un nom commercial mais sont inscrites sous une autre société. Si le message ne mentionne aucune raison sociale, c'est déjà un résultat en soi.

La base de la BaFin : conservation et négociation de crypto-actifs en Allemagne

Pour les prestataires titulaires d'un agrément allemand, l'autorité fédérale de supervision financière tient sa propre base d'entreprises. C'est la voie la plus rapide si votre prestataire est établi en Allemagne, et elle indique en outre quelle autorisation exacte a été délivrée. La base d'entreprises de la BaFin s'utilise sans inscription préalable.

Ces deux registres ne répondent toutefois qu'à la question de savoir si une entreprise est agréée, pas à celle de savoir si votre courriel provient réellement d'elle. D'où la seconde étape.

Deuxième étape : joindre le prestataire par le canal officiel

Une fois établie l'existence du prestataire, vous vérifiez que le message émane bien de lui. Une seule règle s'applique alors, plus contraignante qu'il n'y paraît : vous n'utilisez aucun moyen de contact tiré du message. Aucun numéro de téléphone du courriel, aucun lien, aucun fichier PDF joint, aucun code QR.

Vous ouvrez plutôt l'application que vous avez déjà sur votre téléphone, ou vous saisissez vous-même le domaine du prestataire. Si aucune communication relative à une liquidation ne figure dans votre espace client, cette liquidation n'existe pas pour vous. Une entreprise qui invite ses clients européens à retirer leurs fonds le fait dans le compte lui-même, précisément parce qu'elle redoute cette confusion.

Les autorités, du reste, n'écrivent pratiquement jamais directement aux particuliers dans ces situations. Ni la BaFin ni l'ESMA ne vous demanderont par courriel de déplacer des avoirs vers une adresse donnée. Un message qui le fait tout en se donnant des airs officiels peut être traité comme un faux, sans autre vérification.

Indices textuels : reconnaître un courriel de phishing à sa rédaction

Si vous avez un message sous les yeux et que les registres vous sont momentanément inaccessibles, quelques indices vous aideront. Aucun ne constitue une preuve à lui seul, mais leur accumulation dessine une image nette.

• Une adresse de destination précise dans le texte. Les avis de liquidation authentiques indiquent des démarches, pas des portefeuilles. La présence d'une adresse de réception est l'indice le plus net qui soit.
• Un délai de quelques jours ou de quelques heures. Les liquidations menées sous MiCA s'étalent sur des semaines et des mois.
• Un nouveau canal de contact. Si la conversation bascule vers une messagerie instantanée alors que tout passait jusque-là par courriel, quelque chose cloche.
• La demande d'identifiants ou de la phrase de récupération. Aucune procédure légitime n'exige vos douze ou vingt-quatre mots.
• Un nom de domaine presque exact. Un trait d'union en plus, une extension différente, une lettre inversée. Comparez caractère par caractère avec votre gestionnaire de mots de passe.
• Des frais exigibles avant le retrait. Si l'on vous demande de payer pour accéder à vos propres avoirs, le dossier est clos.

À l'inverse, une présentation soignée ne prouve rien. Les faux contre lesquels le régulateur met en garde posent problème justement parce qu'ils sont bien exécutés. Repérer les fautes d'orthographe est un conseil d'une autre époque.

Quand votre plateforme crypto cesse réellement son activité dans l'Union

Supposons que la vérification aboutisse à ceci : le message est authentique, votre prestataire n'a pas obtenu d'agrément MiCA et arrête son activité européenne. Vous avez alors un problème réel mais soluble. L'ordre des opérations compte, car un premier geste mal choisi coûte cher.

Mettez d'abord vos documents à l'abri. Téléchargez historiques de transactions, relevés de compte et rapports fiscaux tant que vous avez encore accès au service. Une fois la plateforme fermée, ces données ne s'obtiennent souvent plus que par demande écrite, et vous en avez besoin pour la déclaration fiscale allemande : la date et le coût d'acquisition de chaque position déterminent si une vente ultérieure relève du délai de détention d'un an.

Ce n'est qu'ensuite que vous cherchez une destination. Une plateforme agréée s'impose si vous souhaitez continuer à négocier ; les prestataires ayant franchi l'obstacle MiCA et leurs différences en matière de frais et de conservation figurent dans notre comparatif des plateformes crypto réglementées. Si vous comptez de toute façon conserver vos avoirs longtemps, la conservation autonome est l'alternative qui vous affranchit de la question de l'agrément.

Ce n'est qu'après cela que vous déplacez vos avoirs, et vous le faites avec un montant d'essai. Envoyez une petite somme, attendez qu'elle arrive et transférez le reste seulement ensuite. Cela coûte des frais de réseau supplémentaires et vous protège de la plus coûteuse des erreurs, l'adresse mal recopiée.

Une remarque fiscale : le simple transfert entre deux comptes qui vous appartiennent tous les deux ne constitue pas une cession et ne déclenche aucune imposition en Allemagne. En revanche, vendre parce que le prestataire ne rembourse qu'en euros constitue une opération fiscalement imposable. Vérifiez donc au préalable s'il restitue les jetons eux-mêmes.

Cryptos envoyées et fraude constatée : ce qui reste utile

Un virement en crypto-actifs ne se récupère pas. Quiconque vous promet le contraire au téléphone appartient à la deuxième vague : les prétendus services de récupération, qui se manifestent après une perte et proposent un rapatriement des fonds contre paiement anticipé, constituent un schéma de fraude documenté à part entière.

Bien des démarches gardent pourtant du sens. Déposez plainte, car les enquêteurs recoupent les adresses et les plateformes peuvent geler des fonds bloqués lors d'une tentative de retrait. Signalez l'incident à la BaFin. Conservez les messages, les noms de domaine et les empreintes de transaction avant que la partie adverse ne coupe son infrastructure. Et changez les mots de passe ainsi que les procédés d'authentification à deux facteurs de tous les comptes utilisés sur le faux site.

Ce qui change durablement pour les investisseurs crypto dans l'Union

Pour vous, l'obligation d'agrément laisse une habitude qui survivra à cet été : avant de déposer de l'argent chez un prestataire, vous le recherchez dans le registre. C'était difficile avant MiCA, faute de répertoire unique. Depuis cette année, cela tient en une requête.

Note de transparence : dans nos comparatifs, nous évaluons des prestataires avec lesquels des partenariats existent parfois. Cela reste sans effet sur les vérifications décrites ici ; les registres cités plus haut sont des répertoires officiels.

Ce qu'il faut retenir

1. Vérifiez le prestataire dans le registre avant de déplacer quoi que ce soit. Saisissez vous-même l'adresse du registre de l'ESMA ou de la base de la BaFin et cherchez la raison sociale. S'il n'y figure pas, le message est réglé. Les plateformes agréées qui s'offrent à vous figurent dans notre comparatif des plateformes crypto réglementées.
2. Confirmez toute demande de retrait depuis votre espace client. Ouvrez l'application ou le site par votre propre chemin, jamais par un lien tiré du message. Si aucune communication ne s'y trouve, vous n'agissez pas. Si vous changez de toute manière de prestataire, notre panorama des plateformes crypto comparées vous aidera à choisir.
3. Basculez vos avoirs en conservation autonome si vous comptez les garder longtemps. Vous ne dépendez plus alors de l'agrément d'un prestataire. L'appareil qui convient et ce qui importe pour la sauvegarde sont traités dans notre comparatif des portefeuilles matériels. Là encore, commencez par un montant d'essai.

(Au 7 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)

Note de transparence : cet article a été rédigé avec le recours à l'intelligence artificielle et vérifié par notre rédaction avant publication. Tous les chiffres et les informations ont été recoupés avec les sources primaires citées dans le texte. L'image de couverture a été générée par IA.