Transparence fiscale des crypto-actifs : le risque du papillon et l’exigence du grillon

Le 27 juillet dernier, Jean-Noël Barrot a présenté un projet de loi visant à autoriser la France à conclure un accord multilatéral d’échange de renseignements fiscaux portant spécifiquement sur les crypto-actifs. Cet instrument s’ajoute aux dispositifs européens déjà en vigueur, notamment la directive DAC 8, qui prévoit dès 2026-2027 la transmission automatique aux administrations fiscales des données relatives aux opérations, montants, nombres de transactions, identités des utilisateurs et des prestataires de services.

Le texte déposé au Sénat précise que ces accords permettront de compléter les échanges intra-européens en ouvrant la porte à des transferts automatiques avec des États ou territoires tiers. L’objectif affiché est louable : lutter plus efficacement contre la fraude et l’évasion fiscales dans un marché en fortement internationalisé.

Cependant, pour les entreprises qui détiennent, utilisent ou proposent des services liés aux crypto-actifs, cette mondialisation de l’information crée une exposition inédite. Les données ne circuleront plus seulement au sein de l’Union ; elles seront accessibles à un réseau de 48 juridictions aux standards de protection variables.

La première difficulté réside dans le volume et la sensibilité des informations échangées.

Identités des détenteurs, historiques de transactions, montants précis : autant d’éléments qui, une fois partagés, multiplient les points de vulnérabilité. Les experts en sécurité soulignent déjà que l’augmentation des collectes de données accroît mécaniquement les risques de fuites. Or, dans le domaine des crypto-actifs, une fuite n’est pas seulement un incident informatique ; elle peut se traduire par des agressions physiques, des braquages ou des enlèvements ciblant des personnes identifiées comme détentrices de valeur.

La France est devenue, depuis 2025, l’un des épicentres mondiaux de ces « wrench attacks ».

Selon les données des autorités et des analyses spécialisées, les incidents violents liés aux crypto-actifs ont connu une hausse spectaculaire : plusieurs dizaines de cas recensés en 2025, et déjà des dizaines supplémentaires au premier semestre 2026. Les forces de l’ordre ont enregistré plus de 130 faits depuis 2023, avec une accélération marquée. Des fuites de données fiscales ont parfois servi de point de départ aux repérages criminels.

Parmi les affaires les plus emblématiques figurent plusieurs dirigeants et propriétaires d’entreprises du secteur. En janvier 2025, David Balland, cofondateur de Ledger, et son épouse ont été enlevés à leur domicile de Vierzon. Les ravisseurs ont exigé une rançon de plusieurs millions d’euros et ont sectionné un doigt de la victime pour faire pression. En mai 2025, la fille de Pierre Noizat, président de Paymium, a fait l’objet d’une tentative d’enlèvement en plein Paris. Le même mois, le père d’un entrepreneur ayant fait fortune dans les crypto-actifs a été kidnappé dans la capitale et mutilé. En février 2026, le domicile du président de Binance France a été ciblé. En mai 2026, l’épouse de Sébastien Borget, cofondateur de The Sandbox, a été la cible d’une tentative d’enlèvement. D’autres entrepreneurs ou investisseurs ont été directement enlevés, comme un jeune investisseur de 25 ans à Mulhouse.

Ces cas ne sont pas isolés. Pour une entreprise, les conséquences dépassent la victime individuelle : interruption de la gouvernance, atteinte à l’image, coûts de sécurité personnelle pouvant atteindre plusieurs dizaines de milliers d’euros par mois, et climat de psychose dans l’écosystème.

À ces risques physiques s’ajoutent désormais des vulnérabilités purement techniques qui rappellent que même les solutions d’autoconservation les plus réputées ne sont pas infaillibles.

Depuis fin juillet 2026, plus de 2 000 bitcoins appartenant à des clients de Coldcard, un portefeuille froid très prisé par les maximalistes du bitcoin, ont été dérobés, pour une valeur supérieure à 100 millions de dollars. La cause : une faille datant de mars 2021 dans le firmware de l’appareil, qui générait des phrases de récupération de 24 mots avec une entropie insuffisante. Les clés privées étaient ainsi plus facilement devinables par des acteurs malveillants. Des utilisateurs ont perdu des sommes considérables, certains jusqu’à 1,6 million de dollars.

Cet incident relance le débat sur les modes de garde.

Les portefeuilles froids (portefeuille de cryptomonnaies hors ligne ou non connecté à Internet) incarnent la philosophie d’autonomie du bitcoin, mais leur complexité et leurs failles éventuelles exposent les détenteurs à des pertes irréversibles. Les plateformes centralisées présentent d’autres risques (piratages, faillites, contraintes réglementaires). Dans les deux cas, la combinaison d’une exposition identitaire accrue – via les échanges automatiques d’informations fiscales – et d’une vulnérabilité technique ou physique crée un danger majeur. Les fuites de données de Ledger en 2020, qui avaient révélé des informations personnelles de centaines de milliers de clients, ont déjà contribué à alimenter les attaques physiques observées en France. L’incident Coldcard montre que la sécurité technique elle-même reste fragile.
 

Jean-Pierre Claris de Florian (1755 – 1794), dans sa fable Le Grillon, met en scène un humble insecte caché dans l’herbe qui contemple avec envie un papillon aux ailes éclatantes. Ce dernier, jeune, beau et visible, attire bientôt une troupe d’enfants qui le poursuivent, le saisissent et le déchirent. Le grillon, quant à lui, conclut sagement : « Il en coûte trop cher pour briller dans le monde. […] Pour vivre heureux, vivons caché. »

Cette morale n’invite pas à l’opacité fiscale ni à la fraude. Elle rappelle qu’une visibilité excessive, lorsqu’elle n’est pas précédée de solides protections, transforme la transparence en vulnérabilité. Dans le contexte actuel, les détenteurs de crypto-actifs et les entreprises qui les accompagnent risquent de devenir les papillons d’un système d’information mondialisé.

L’exigence d’assurer la sécurité des citoyens comme condition préalable à toute transparence élargie mérite d’être pleinement développée. La transparence fiscale n’est pas un bien en soi ; elle n’est légitime et efficace que si l’État qui l’impose garantit, en amont et de manière vérifiable, que les données collectées et échangées ne deviendront pas des armes entre les mains de criminels. Or, l’expérience française récente montre que cette condition n’est pas encore remplie.

Plusieurs raisons fondamentales imposent cette priorité.

Premièrement, la nature même des données concernées. Contrairement aux informations fiscales classiques, les données relatives aux crypto-actifs permettent d’identifier non seulement un patrimoine, mais souvent une capacité immédiate de transfert de valeur. Une fuite ou un accès illégitime se traduit directement par un risque d’agression physique. Les affaires Balland, Noizat, Princay ou Borget le démontrent : dès que l’identité et la détention d’actifs deviennent connues, la personne et sa famille deviennent des cibles prioritaires.

Deuxièmement, la multiplication des points de vulnérabilité. L’accord multilatéral avec 48 États multiplie les bases de données, les interconnexions et les acteurs ayant accès aux informations. Chaque maillon supplémentaire augmente le risque de compromission, qu’elle soit le fait d’un agent corrompu, d’une cyberattaque ou d’une négligence. Les précédents de fuites issues de fichiers fiscaux français illustrent déjà ce danger à l’échelle nationale ; l’étendre à des dizaines de juridictions aux niveaux de protection très inégaux revient à exporter ce risque sans filet de sécurité.

Troisièmement, l’asymétrie des responsabilités. L’État exige des citoyens et des entreprises une transparence totale, mais il n’assume pas encore pleinement la responsabilité de protéger ceux qu’il rend visibles. La sécurité physique des personnes n’est pas un détail opérationnel ; elle constitue un devoir régalien. Tant que les dispositifs de protection des données, de traçabilité des accès, de sanction des fuites et de prévention des agressions ne sont pas à la hauteur de l’ambition de transparence, cette dernière devient une mise en danger organisée.

Quatrièmement, le risque de perte de confiance et d’effet contraire. Une transparence perçue comme dangereuse pousse les acteurs de bonne foi à la discrétion excessive, au report d’activités vers des zones moins régulées, ou à l’abandon de certains outils numériques. Elle affaiblit ainsi l’objectif même de lutte contre la fraude, tout en créant un climat de peur préjudiciable à l’innovation et à l’attractivité économique.

L’incident Coldcard ajoute une dimension technique essentielle à cette exigence.

Même les solutions d’autoconservation les plus sophistiquées peuvent comporter des failles d’entropie ou de conception qui rendent les clés privées vulnérables. Lorsque ces failles coïncident avec une exposition identitaire accrue due aux échanges automatiques d’informations, le détenteur se trouve doublement exposé : techniquement et physiquement. La sécurité ne peut donc se limiter à la prévention des agressions ; elle doit aussi englober la robustesse des outils de garde, la formation des utilisateurs et la responsabilité des fabricants.

Avant d’exiger une transparence totale, il convient d’assurer la sécurité des citoyens et des acteurs économiques sous toutes ses formes : sécurisation rigoureuse des bases de données, limitations strictes et auditables d’accès, sanctions dissuasives et effectives en cas de fuite, mécanismes de recours rapides pour les victimes, coordination renforcée entre services fiscaux, forces de l’ordre et acteurs privés, et standards techniques élevés pour les dispositifs de conservation.

L’exigence préalable de sécurité n’est pas un frein à la lutte contre la fraude ; elle en est la condition de légitimité et d’efficacité.

Sans elle, la transparence risque de produire l’effet inverse de celui recherché : une perte de confiance, un report des activités vers des zones moins régulées, et une exposition accrue des acteurs de bonne foi.
 

Face à ces enjeux, plusieurs leviers d’action s’offrent aux chefs d’entreprise.

D'abord, procéder à un audit complet des expositions crypto-actifs au sein de l’organisation : trésorerie, participations, rémunération de collaborateurs, clients ou fournisseurs. Cet inventaire permettra d’identifier les points de contact avec le futur régime d’échange et d’anticiper les obligations déclaratives.

Ensuite, renforcer les dispositifs de cybersécurité et de protection physique des personnes clés. Les entreprises ont intérêt à collaborer avec des spécialistes de la sécurité des actifs numériques et à mettre en place des protocoles de gestion de crise intégrant le risque d’agression ciblée. Certains dirigeants du secteur ont déjà multiplié par plusieurs fois leurs budgets de protection personnelle et familiale.

Il faut également dialoguer avec les pouvoirs publics et les organisations professionnelles afin d’obtenir des garanties sur les standards de protection des données échangées. Les dirigeants peuvent soutenir des amendements ou des positions collectives demandant des clauses de réciprocité renforcée, des audits indépendants des systèmes d’information des États partenaires, et des délais de mise en œuvre permettant une adaptation progressive. La réponse des autorités doit être encouragée et renforcée, mais aussi conditionnée à des résultats concrets en matière de prévention.

Il est nécessaire d'investir dans des solutions techniques de confidentialité et de conservation robustes, compatibles avec la réglementation : outils de preuve à divulgation nulle de connaissance, architectures de custody sécurisées multi-signatures, vérification indépendante de l’entropie des générateurs de clés, ou politiques internes limitant la concentration de données sensibles. L’incident Coldcard rappelle la nécessité d’audits réguliers des firmwares et de procédures de migration rapide en cas de vulnérabilité découverte.

Enfin, former les équipes dirigeantes et les collaborateurs aux enjeux de la transparence fiscale internationale, aux bonnes pratiques de discrétion et aux risques spécifiques de chaque mode de garde. La culture d’entreprise doit intégrer la notion de « sécurité d’abord » – technique, physique et organisationnelle – sans pour autant céder à l’opacité.
 

Loin d’être uniquement une contrainte, cette évolution réglementaire offre une opportunité de différenciation. Une entreprise qui anticipe les risques, protège ses collaborateurs et ses clients, et communique de manière transparente sur ses propres mesures de sécurité, renforce sa crédibilité.

En affichant une politique claire de conformité alliée à une exigence de protection des données personnelles, de la sécurité physique et de la robustesse technique des solutions de conservation, l’organisation se positionne comme un acteur responsable. Elle peut valoriser auprès de ses parties prenantes – investisseurs, partenaires, talents – sa capacité à naviguer dans un environnement réglementaire complexe tout en préservant la confiance.

Cette posture se traduit concrètement par des engagements publics : publication d’une charte de sécurité des actifs numériques intégrant les leçons de Coldcard et des agressions physiques, participation à des groupes de travail sur la protection des données fiscales, ou certification de processus internes. Elle contribue à bâtir une image d’entreprise mature, capable de concilier les impératifs de transparence fiscale avec ceux de la sécurité des personnes et de la résilience opérationnelle.

Dans un monde où la confiance devient un actif stratégique, l’entreprise qui sait rester discrète là où cela est nécessaire, tout en étant exemplaire là où la réglementation l’exige, se distingue durablement.

Comme le grillon de Florian, elle choisit la retraite profonde non par refus du monde, mais par sagesse : pour mieux y vivre et y prospérer. Les cas dramatiques récents – agressions physiques comme failles techniques – rappellent que cette sagesse n’est plus optionnelle ; elle est devenue une condition de survie et de leadership.