Carte crypto : où se trouve vraiment votre solde de carte et ce que l’exploit Solana du 28 août en révèle

Lorsque vous payez avec une carte crypto, l’argent qui couvre cette carte ne se trouve, dans bien des cas, pas dans votre propre portefeuille. Il se trouve dans un contenant distinct, exploité par la plateforme de la carte et que vous remplissez vous-même lors du rechargement. Le 28 août 2026, une attaque visant exactement ce type de contenant a montré ce que cela implique en cas de problème : les portefeuilles autoconservés des utilisateurs sont restés intacts, et le solde de carte rechargé avait disparu.

Le prestataire concerné n’est pas disponible en Allemagne. La construction qui le sous-tend, elle, l’est. Ce texte replace l’incident dans son contexte, explique les notions employées et vous montre comment reconnaître le modèle de conservation qu’utilise votre propre carte et qui serait compétent en cas de sinistre.

Ce qui s’est passé le 28 août 2026 dans le contrat de carte Solana d’Avici

Avici est ce que l’on appelle une néobanque sur la chaîne de blocs Solana : une application qui rattache une carte Visa à son propre compte inscrit sur la chaîne. Le 28 août 2026, le prestataire a rendu public l’existence d’un problème affectant les versements liés aux cartes. Selon la reconstitution de crypto.news, la première transaction malveillante est intervenue à 16:49:48 UTC, et les comptes rendus ont commencé en début de soirée.

Selon la présentation du prestataire, ce n’est ni le réseau Solana ni le portefeuille applicatif des utilisateurs qui a été touché, mais un unique contrat intelligent dans lequel est détenue la couverture des cartes. Qui a laissé ses fonds dans l’application sans les charger sur la carte se trouvait hors de l’attaque. Qui avait rechargé s’y trouvait.

Le déroulement technique de l’attaque

Selon l’exposé de Cryptopolitan, l’attaquant a exploité la logique de versement du programme écrit en Rust en appelant successivement les fonctions SubmitSignatures, AddCollateralAdmin et WithdrawCollateralAsset. L’étape intermédiaire est la plus décisive : elle lui a permis de s’inscrire lui-même comme gestionnaire autorisé des garanties, puis de retirer par la voie ordinaire ce qui avait été déposé.

L’opération n’a pas été un prélèvement unique. D’après le relevé publié ensuite par Avici, la série d’attaques a comporté 14 672 transactions, dont 2 344 ont échoué. Cela plaide pour un script automatisé traitant le contrat de façon systématique pendant des heures, et non pour un coup isolé.

Contrat de solde de carte : ce que c’est et pourquoi ce n’est pas votre portefeuille

Un contrat de solde de carte est un programme autonome sur une chaîne de blocs, vers lequel vous virez des fonds afin qu’une carte de paiement puisse y accéder. Dès que vous rechargez, l’argent quitte votre portefeuille et se trouve dans ce contrat jusqu’à ce qu’un paiement par carte soit réglé ou que vous le récupériez.

La différence avec le portefeuille est pratique et non théorique. Votre portefeuille est protégé par une clé que vous seul détenez. Le contrat de carte dispose de sa propre logique d’accès, le plus souvent assortie de rôles pour l’exploitant, afin que les règlements puissent seulement fonctionner. Qui déjoue cette gestion des rôles atteint les soldes de tous les utilisateurs sans connaître la moindre clé privée.

C’est exactement ce qui s’est produit chez Avici. Les portefeuilles Solana et EVM autoconservés de l’application sont restés intacts selon le prestataire. Seul le contrat distinct, vers lequel les utilisateurs avaient transféré des fonds destinés à la carte, a été attaqué. L’idée répandue selon laquelle un produit autoconservé le serait automatiquement dans son ensemble ne tient pas sur ce point.

L’ampleur du préjudice : pourquoi 500 000 et 1,07 million de dollars peuvent tous deux être exacts

Deux ordres de grandeur circulent quant à l’ampleur, et tous deux reposent sur une base compréhensible. Le jour de l’incident, crypto.news a dénombré une sortie de 10 005,03 SOL ainsi qu’environ 11 600 dollars en USDC et USDT, soit ensemble quelque 1,07 million de dollars au cours d’alors. Avici a de son côté annoncé, après recoupement interne, 1 685 utilisateurs touchés et 500 859,22 dollars de soldes de carte.

La fourchette d’environ 0,5 à 1,07 million de dollars se dénoue dès que l’on prête attention à la grandeur de référence. Le chiffre le plus élevé mesure les actifs sortis du contrat. Le plus faible mesure la part de ces actifs pouvant être rattachée à des comptes clients individuels au titre du solde de carte. Les deux chiffres procèdent de méthodes de comptage différentes, et aucun n’est le « bon » au regard de l’autre.

Pour vous, lecteur, l’enseignement compte davantage que la somme exacte : dans les premières heures d’un tel incident, les estimations issues de la chaîne et les recoupements ultérieurs du prestataire coexistent, et ils coïncident rarement. Qui prend des décisions dans cette phase devrait savoir lequel des deux chiffres il a sous les yeux.

Rain comme émetteur de la carte : le rôle de l’infrastructure en arrière-plan

Sur la carte figure le nom de l’application. L’émission et l’exploitation technique sont en règle générale assurées en arrière-plan par un émetteur de cartes spécialisé. Chez Avici, il s’agit de la société Rain, qui fournit des programmes de cartes à des entreprises et entretient pour cela ses propres contrats sur plusieurs chaînes de blocs.

Selon les entreprises concernées, Rain a localisé lui-même le défaut et l’a rattaché à une version obsolète de ses contrats Solana, utilisée outre Avici par un petit nombre d’autres programmes. D’après la société, tous les déploiements fonctionnant encore sur cette version ont ensuite été mis à jour et des experts en criminalistique externes ont été mandatés. Quels autres programmes étaient concernés et si un préjudice y est survenu n’a pas été rendu public.

Avici s’est engagé à rembourser intégralement tous les soldes de carte touchés et indique avoir déposé plainte auprès de l’Internet Crime Complaint Center du FBI. Savoir si et quand les remboursements ont effectivement été exécutés ne peut être vérifié de l’extérieur ; cet engagement est une annonce de l’entreprise et non un fait accompli.

Pourquoi Jupiter a suspendu les versements par carte à titre préventif

Le même jour, le programme de cartes de la plateforme d’échange Solana Jupiter a lui aussi brièvement suspendu le versement des soldes de carte. La plateforme l’a justifié comme une mesure de précaution pendant que son partenaire clôturait ses propres contrôles de sécurité, et a constaté que les comptes et les fonds de ses utilisateurs n’avaient à aucun moment été touchés. Les versements ont ensuite repris normalement.

Cet épisode est plus instructif qu’il n’y paraît d’abord. La brève suspension montre qu’un défaut affectant une version de contrat partagée atteint plusieurs programmes de cartes à la fois, y compris ceux d’où rien ne sort finalement. La carte que vous avez en main peut provenir d’un prestataire dont vous n’avez jamais choisi le logiciel.

Ce qu’une suspension préventive des versements signifie pour vous

Une telle suspension équivaut en pratique à un blocage temporaire de votre solde de carte. L’argent n’est pas perdu, mais il reste indisponible pendant la durée du contrôle. Qui place l’ensemble de ses dépenses mensuelles sur une carte crypto perçoit la différence avec un compte courant précisément dans cette situation.

Quelles cartes crypto utilisent ce modèle et où Rain émet réellement

Pour les lecteurs allemands, la question de la disponibilité constitue le premier filtre, et elle tranche nettement pour les deux programmes cités. La documentation d’Avici recense 47 territoires dans lesquels la carte est utilisable, dont des pays d’Amérique latine, d’Afrique et d’Asie ainsi que certains États américains. L’Europe, l’Espace économique européen et l’Allemagne ne figurent ni dans la liste des territoires autorisés ni dans celle des territoires exclus. La carte Jupiter, émise par Rain ou par DCS selon le pays de résidence, ne mentionne pas davantage l’EEE parmi les régions prises en charge.

Le modèle lui-même reste néanmoins disponible en Allemagne. La carte d’ether.fi, par exemple, est également émise via Rain, conserve le solde dans un coffre en contrat intelligent contrôlé par l’utilisateur et procède aux règlements sur Scroll, une couche 2 d’Ethereum. La page d’aide du prestataire recense vingt pays non pris en charge, dont l’Estonie, la Finlande, les Pays-Bas et la Hongrie ; l’Allemagne n’y figure pas. Comme ce programme ne règle pas sur Solana, il échappe à la version de contrat en cause dans l’affaire Avici.

Qui parcourt cette catégorie de produits trouve côte à côte des cartes aux mécaniques très différentes. Les modèles existants et les écarts de frais et de remise en argent figurent dans le panorama des cartes bancaires crypto. La question de la conservation n’y est qu’un critère parmi d’autres, mais c’est celui qui détermine la compétence en cas de sinistre.

MiCA et licence de monnaie électronique : les règles applicables à un solde de carte en Europe

Dans l’Union européenne, une carte de paiement assortie d’un solde rechargé constitue en principe un produit de monnaie électronique. L’émetteur doit disposer à ce titre d’un agrément d’établissement de monnaie électronique, séparer les fonds de la clientèle de son propre patrimoine et les conserver auprès d’une banque ou dans des placements sûrs. Lorsque la crypto entre en jeu, l’agrément de prestataire de services sur actifs numériques s’y ajoute depuis la fin de la période transitoire de MiCA, le 1er juillet 2026.

La différence avec la garantie des dépôts importe : une conservation séparée signifie que les fonds de la clientèle ne tombent pas dans la masse en cas d’insolvabilité du prestataire. Elle ne signifie pas qu’un fonds de garantie public intervient en cas de pertes, comme c’est le cas pour les dépôts bancaires jusqu’à 100 000 euros. La publicité pour les cartes de paiement confond régulièrement les deux notions.

Si votre solde de carte se trouve en revanche dans un contrat inscrit sur la chaîne, cet ordre juridique ne s’applique pas ainsi. Il n’existe alors pas de fonds de clientèle conservés auprès d’un établissement, mais des actifs dans un programme dont la sécurité dépend du code et de la gestion des rôles. Le remboursement relève dans ce cas du geste commercial et de l’engagement contractuel du prestataire, comme le montre l’affaire Avici, et non du droit de la surveillance.

Compte conservé ou contrat sur la chaîne : les deux modèles en bref

Dans le premier modèle, vous rechargez une carte, vos cryptos sont vendues au moment du rechargement ou du paiement, et ce qui se trouve sur la carte constitue de la monnaie électronique auprès d’un émetteur agréé. Le prestataire tient un compte pour vous, l’autorité veille à la séparation des fonds de la clientèle, et en cas de litige vous disposez d’un cocontractant identifié et agréé.

Dans le second modèle, vous virez des cryptos dans un contrat qui sert de garantie ou de solde pour la carte. L’attrait tient à ce que vous conservez le contrôle plus longtemps et n’avez pas à vendre vos actifs pour rester en mesure de payer. Le prix tient à ce que la sécurité de ce contrat devient votre risque, indépendamment du soin avec lequel vous conservez vos propres clés.

Des formes mixtes existent. Certains prestataires conservent le solde en monnaie fiduciaire auprès d’un établissement et vous laissent en outre déposer des cryptos en garantie. D’autres ne convertissent qu’au moment du paiement. La variante retenue figure dans les conditions générales, et leur lecture est plus profitable que celle de la présentation du produit sur la page d’accueil.

Fiscalité des paiements par carte crypto : pourquoi chaque paiement peut être une cession

Indépendamment du modèle de conservation, payer en cryptos comporte en Allemagne un volet fiscal que beaucoup ne découvrent qu’au moment de la déclaration. Si des cryptos sont échangées contre des euros lors du paiement par carte ou du rechargement, il s’agit d’une cession au sens du patrimoine privé. Qu’il en résulte ou non une plus-value imposable dépend de la durée de détention, du coût d’acquisition et du seuil d’exonération.

Concrètement : une carte qui convertit un petit montant à chaque achat produit de nombreuses opérations distinctes qui demandent à être documentées. Qui ne les enregistre pas au fil de l’eau se retrouve en fin d’année devant une reconstitution à partir des relevés de compte et des données de la chaîne. Les modèles dans lesquels vous payez contre des garanties déposées, au lieu de vendre, se comportent différemment sur le plan fiscal ; une appréciation au cas par cas s’impose ici, car tout dépend de l’aménagement contractuel retenu.

Vérifié en dix minutes : comment savoir quel modèle utilise votre carte

Vous répondez aux questions suivantes pour votre propre carte à partir des documents du prestataire, et non de mémoire.

Premièrement : qui émet la carte ? Les conditions générales mentionnent un établissement avec son siège et son agrément. Si un établissement de monnaie électronique de l’EEE y figure, cela plaide pour le premier modèle. Si l’on y trouve un fournisseur d’infrastructure sans mention d’agrément, poursuivez la lecture.

Deuxièmement : que se passe-t-il au rechargement ? Si vos cryptos sont converties en euros ou en dollars et portées en solde, il s’agit de monnaie électronique. Si elles demeurent en cryptos et sont qualifiées de garantie, vous avez affaire à un contrat inscrit sur la chaîne.

Troisièmement : les conditions mentionnent-elles un contrat avec une adresse ? Les prestataires du second modèle indiquent l’adresse du contrat ou un coffre. C’est un signe de reconnaissance fiable.

Quatrièmement : comment le remboursement est-il traité en cas d’incident ? Cherchez dans les conditions les mots responsabilité, remboursement et exclusion. Un prestataire qui exclut expressément les pertes résultant de défauts dans les contrats intelligents vous indique par là où se situe votre risque.

Cinquièmement : quel montant se trouve réellement sur la carte ? Un solde de carte est de l’argent liquide dans la poche d’une veste et non un portefeuille de titres. Qui ne recharge que le besoin des prochaines semaines limite le préjudice possible à un montant qu’il peut absorber.

Si cette vérification vous confronte à des autorisations et à des signatures que l’on vous demande de confirmer, lisez d’abord précisément ce que vous autorisez. La manière de reconnaître une autorisation abusive est exposée en détail dans notre guide consacré aux drainers de portefeuille et aux autorisations de signature.

Carte crypto et solde de carte : ce qu’il faut retenir

L’incident du 28 août ne vous concerne pas directement en tant qu’utilisateur allemand, puisque les deux programmes cités ne sont pas disponibles ici. La construction qui a rendu ce préjudice possible se retrouve toutefois dans des cartes accessibles dans ce pays. Trois étapes vous font avancer :

1. Déterminez le modèle de votre carte. Prenez les conditions générales de votre carte et répondez aux cinq questions de la section précédente. Si vous constatez alors que la carte ne correspond pas à votre usage, les solutions de rechange figurent dans le panorama des cartes bancaires crypto.
2. Séparez le solde de la conservation. Ne gardez sur la carte que ce que vous dépenserez dans les prochaines semaines, et laissez le reste là où vous contrôlez les clés. Quel portefeuille convient à cet usage, le comparatif des portefeuilles logiciels le montre.
3. Consignez les paiements au fil de l’eau pour la fiscalité. Enregistrez rechargements et conversions en continu plutôt qu’une fois par an. Quels outils s’en chargent automatiquement, le panorama des logiciels fiscaux et suiveurs de portefeuille crypto l’indique.

(Au 30 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)