Fonds de protection des plateformes crypto : ce qui couvre vraiment votre solde après le piratage de Bitget

Lorsqu'une plateforme d'échange de cryptomonnaies perd de l'argent, aucun État n'intervient. Ce qui protège votre solde, c'est d'abord une promesse volontaire de la plateforme, et ensuite une règle de responsabilité issue du règlement européen sur les crypto-actifs. La première, la plateforme peut la modifier demain ; la seconde ne s'applique que si elle est agréée. L'attaque menée contre Bitget dans la nuit du 25 septembre 2026 met les deux en évidence.

Nous n'avons donc pas repris ce qui se dit de l'incident : nous avons consulté nous-mêmes les promesses de protection et refait les calculs. Cette analyse a été réalisée par cryptoticker.io le 25 septembre 2026. Le résultat en une phrase : le plus grand fonds de protection interne du secteur ne couvre le dommage de ce seul incident qu'à 1,32 fois, et il est libellé précisément dans la devise qui baisse en même temps que le marché en cas de crise.

Le piratage de Bitget du 24 septembre 2026 : 351,6 millions de dollars et des retraits suspendus

La plateforme Bitget a confirmé que quelque 351,6 millions de dollars avaient quitté ses portefeuilles chauds et tièdes le 24 septembre 2026. L'entreprise situe la détection à 18h31 UTC. Selon sa directrice générale Gracy Chen, aucune clé privée n'a été compromise ; les assaillants auraient pris le contrôle d'un service interne de portefeuille, falsifié des données de transaction et déclenché ainsi le processus de validation interne. Les retraits sont suspendus depuis lors et l'entreprise décrit ses avoirs en conservation froide comme intacts. Gracy Chen a publiquement évoqué la piste d'assaillants nord-coréens, en s'appuyant sur des traces d'adresses IP.

Un portefeuille chaud est un portefeuille dont les clés se trouvent sur un système relié à Internet, afin que les retraits s'exécutent automatiquement. Un portefeuille tiède se situe entre les deux : il n'est pas connecté en permanence, mais reste plus rapidement accessible que la conservation froide. Les plateformes n'y conservent qu'une fraction des avoirs de leurs clients. C'est exactement cette fraction qui a été touchée ici.

Pour vous, en tant que cliente ou client, la question intéressante n'est pas de savoir comment l'attaque s'est déroulée techniquement. Elle est celle-ci : qui rembourse l'argent lorsqu'une plateforme le perd, et sur quoi repose ce droit ?

Ce qu'est un fonds de protection d'une plateforme crypto, et ce qu'il n'est pas juridiquement

Un fonds de protection, souvent appelé fonds de garantie ou fonds d'assurance, est un stock de jetons qu'une plateforme met de côté pour indemniser ses clients en cas de sinistre affectant l'ensemble de la plateforme. Il s'agit d'un engagement volontaire, non d'un système de garantie légal. Personne ne le contrôle, personne n'en fixe le montant, et aucune autorité ne verse d'indemnité lorsqu'il est vide.

C'est là que les épargnants confondent régulièrement deux choses. Qui vient du compte courant connaît la garantie des dépôts à hauteur de 100 000 euros et la transpose mentalement au compte ouvert sur la plateforme. Cette transposition ne tient pas, pour une raison inscrite dans le texte de loi et exposée plus bas.

La solidité d'un tel fonds se joue sur trois grandeurs : son montant rapporté à un sinistre réaliste, la devise dans laquelle il est détenu, et les conditions dans lesquelles il indemnise. Les deux premières se calculent. La troisième figure dans les conditions générales de la plateforme.

Notre relevé : 5 500 bitcoins dans le fonds de protection, valorisés au cours du 25 septembre

La page publique du fonds fait état d'un encours de 5 500 BTC et reprend ce chiffre dans le titre de la page. La valeur affichée à côté indiquait, au moment de notre consultation, que « le fonds est actuellement valorisé à 0 $ », manifestement une erreur d'affichage, puisque l'encours lui-même est chiffré sur la même ligne. Pour la valorisation, la page renvoie au cours d'ouverture de 2 heures (UTC+2) du jour considéré.

La page n'affichant pas la valeur en dollars, nous l'avons établie nous-mêmes. Le cours du bitcoin s'établissait à 84 462 dollars.

• Valeur du fonds aujourd'hui : 5 500 BTC multipliés par 84 462 dollars donnent environ 464,5 millions de dollars. Ce montant concorde avec les 464 millions cités publiquement par la directrice générale et confirme la composition du fonds.
• Part absorbée par ce seul sinistre : 351,6 millions sur 464,5 millions représentent 75,7 % du fonds.
• Ce qu'il resterait sur le papier : environ 112,9 millions de dollars, soit quelque 1 337 BTC.
• Taux de couverture : 1,32 fois le dommage. Un second incident de cet ordre de grandeur ne serait plus couvert.

Ces chiffres ne constituent ni une prévision ni une appréciation de la solvabilité de l'entreprise, qui déclare assumer intégralement la perte et qualifie les soldes de ses clients d'exacts. Ils décrivent uniquement la marge qui reste à la promesse de protection publiquement affichée après ce seul événement.

Le défaut de conception : un fonds de protection en bitcoins fond quand on en a besoin

Le second constat de notre calcul pèse plus lourd que le premier. Le fonds est libellé en bitcoins, sa valeur protectrice fluctue donc avec le cours. Lors de notre relevé, le bitcoin cotait 33,0 % en dessous de son record de 126 080 dollars établi le 6 octobre 2025.

Le même encours de 5 500 BTC aurait valu environ 693,4 millions de dollars à ce niveau record. Il en vaut aujourd'hui 464,5 millions. L'effet protecteur a diminué d'environ 228,9 millions de dollars sans qu'un seul jeton ait quitté le fonds.

Le phénomène est systématique et concerne toute plateforme qui détient son fonds de garantie en cryptomonnaies. Les sinistres se concentrent dans les phases de marché agitées, et ces phases sont précisément celles où un tel fonds vaut le moins. Notre calcul montre aussi où se situe la limite : en dessous d'un cours du bitcoin d'environ 63 900 dollars, 5 500 BTC n'auraient plus couvert le sinistre du 24 septembre. Ce niveau de cours est déjà entré dans le champ du possible cette année.

Qui choisit une plateforme en fonction de son fonds de protection ne devrait donc jamais lire l'encours en dollars, mais en jetons, et le rapporter à un sinistre réaliste. Quels prestataires publient leurs garanties et comment ils sont supervisés se vérifie avant l'ouverture d'un compte.

Garantie des dépôts jusqu'à 100 000 euros : pourquoi la loi allemande ne couvre pas les crypto-actifs

La garantie légale des dépôts est la référence que presque tout le monde a en tête. En Allemagne, elle figure dans l'Einlagensicherungsgesetz, en abrégé EinSiG. Aux termes du paragraphe 2, alinéa 3, de l'EinSiG, les dépôts sont des « avoirs, y compris les dépôts à terme et les dépôts d'épargne » qui résultent de sommes inscrites sur un compte et « que l'établissement de crédit CRR doit rembourser selon les conditions légales et contractuelles applicables ». Le plafond de couverture est de 100 000 euros par déposant, selon le paragraphe 8, alinéa 1.

Deux éléments de cette définition excluent votre compte sur une plateforme. D'abord, il faut un établissement de crédit CRR derrière, c'est-à-dire une banque disposant de l'agrément correspondant. Une plateforme crypto n'en est en règle générale pas une. Ensuite, il s'agit d'avoirs en monnaie remboursables à leur valeur nominale. Le bitcoin, l'ether ou le solana ne sont pas des avoirs monétaires et n'ont pas de valeur nominale.

Concrètement : si vous détenez des euros sur un compte de règlement tenu par une banque partenaire agréée, la garantie des dépôts peut s'appliquer à ce montant en euros. Elle ne s'applique pas aux jetons qui se trouvent à côté, pas même au prorata. Ce n'est pas une lacune que quelqu'un aurait oubliée, c'est la logique même du texte.

Article 75 de MiCA : la responsabilité qu'une plateforme agréée ne peut pas écarter

Depuis l'entrée en vigueur du règlement européen sur les marchés de crypto-actifs, autre chose a pris la place de la garantie des dépôts, et cet élément est souvent négligé en pratique : une responsabilité directe du conservateur.

L'article 75, paragraphe 7, de MiCA impose aux prestataires de services sur crypto-actifs de séparer les avoirs de leurs clients de leurs propres avoirs et de les isoler juridiquement de leur patrimoine. Le paragraphe 8 va plus loin : le prestataire est responsable envers ses clients de la perte de crypto-actifs ou des moyens d'accès à ceux-ci lorsque l'incident lui est imputable. Cette responsabilité est plafonnée à la valeur de marché du crypto-actif perdu au moment de la perte. Sont exclus les événements dont le prestataire démontre qu'ils sont survenus indépendamment de son service, par exemple les dysfonctionnements de la chaîne de blocs sous-jacente elle-même.

La différence décisive avec le fonds de protection : cette responsabilité n'est pas un geste commercial. Un conservateur agréé ne peut pas la limiter à l'égard de ses clients par ses conditions générales lorsque la perte résulte d'incidents d'exploitation, de dysfonctionnements ou d'attaques liés à son service. Une attaque qui passe par le service interne de portefeuille du prestataire, comme dans le cas de Bitget, relève clairement de sa sphère de responsabilité selon cette logique.

Ce qui relève de la conservation a été décrit par la BaFin dans sa notice sur les services sur crypto-actifs au titre de MiCAR du 3 janvier 2025 : la garde ou le contrôle sûrs de crypto-actifs, ou des moyens d'accès à ceux-ci, pour le compte de clients, article 3, paragraphe 1, point 17, de MiCAR. Nous avons détaillé ailleurs les obligations qui en découlent pour les prestataires au titre de l'agrément MiCA.

Bitget et l'agrément MiCA : ce que la demande en cours signifie pour les clients européens

Cette responsabilité tient à un seul mot : agréé. Elle vise les prestataires titulaires d'un agrément de prestataire de services sur crypto-actifs dans l'Union européenne, et donc placés sous la supervision d'une autorité européenne.

Selon sa propre communication du 2 juillet 2026, Bitget a déposé, par l'intermédiaire de la société Bitget EU, une demande d'agrément au titre de MiCAR auprès de l'autorité autrichienne des marchés financiers. L'entreprise y écrit elle-même qu'elle entend proposer des services sur crypto-actifs dans l'Union « dès que l'agrément requis aura été délivré et que toutes les étapes réglementaires applicables auront été franchies », et précise que le calendrier, le périmètre et l'issue de la procédure relèvent de l'appréciation de l'autorité. Pour les clients existants de l'offre mondiale, cette communication indique que les accords contractuels et juridiques antérieurs continuent de s'appliquer.

Il en découle pour vous une lecture sobre, et sans reproche adressé à l'entreprise : tant qu'un agrément reste en attente, votre droit en cas de sinistre repose sur un contrat conclu avec une société située hors du cadre de supervision européen et sur la promesse volontaire du fonds. La responsabilité non contournable de l'article 75 de MiCA et l'accès à une autorité de supervision européenne ne s'y ajoutent qu'avec l'agrément. C'est la différence pratique entre une place de marché agréée et une place de marché qui ne l'est pas, et elle n'apparaît qu'une fois que quelque chose a mal tourné.

Preuve de réserves et couverture 1:1 : ce que montrent les attestations des autres plateformes

Pour mettre ces éléments en perspective, nous avons consulté à la même date de référence les informations de sécurité de deux autres prestataires accessibles aux investisseurs européens. Tous deux suivent une approche différente de celle du fonds de sinistre.

Kraken publie une preuve de réserves selon la méthode de l'arbre de Merkle, vérifiée par un tiers indépendant. Les taux de couverture affichés sur la page s'élevaient, à la date de référence du 30 juin 2026, à 102,9 % pour le bitcoin, 100,5 % pour l'ether, 100,6 % pour le solana, 102,3 % pour le XRP et 100,3 % pour le cardano ; pour les stablecoins qui y sont cités, à plus de 105 %. Aucun fonds de sinistre ni assurance des avoirs clients n'est mentionné sur cette page.

Bitpanda met en avant sur sa page de sécurité une séparation juridiquement contraignante entre ses propres actifs et ceux de ses clients, une couverture physique 1:1 de tous les avoirs des utilisateurs, la conservation froide et le renoncement à toute spéculation avec les fonds des clients. Là non plus, aucun fonds de protection, ni la moindre mention d'une garantie des dépôts pour les crypto-actifs.

Ce qu'apporte une preuve de réserves est étroitement délimité, et cela fait partie du tableau. Elle montre qu'à une date donnée, les avoirs étaient présents. Elle ne dit rien de leur éventuel adossement à des engagements, et elle ne remplace aucune indemnisation s'ils sont dérobés par la suite. L'écart mérite d'être relevé : la dernière attestation affichée sur la page datait de 87 jours au jour de notre relevé.

Fonds de protection ou conservation personnelle : la voie d'achat sous MiCA et la durée de détention

De ces constats ne découle aucune recommandation générale de retirer ses jetons des plateformes. Il en découle une répartition selon l'usage.

Les montants que vous négociez activement ont leur place sur une place de marché, et la question prudentielle y est la plus importante : le prestataire dispose-t-il d'un agrément MiCA, et quelle autorité le supervise ? Les avoirs que vous souhaitez conserver plus longtemps ne sont plus exposés au risque de plateforme sur votre propre portefeuille matériel. En contrepartie, plus personne n'y répond de vos avoirs : une phrase de récupération perdue l'est définitivement, et l'article 75 de MiCA n'y change rien, puisque aucun conservateur n'est impliqué.

Ce que le transfert déclenche sur le plan fiscal, et ce qu'il ne déclenche pas

Un point important, car il est souvent mal compris : le simple transfert de ses propres jetons d'une plateforme vers son propre portefeuille n'est pas une opération imposable. Vous ne cédez rien, vous changez uniquement de lieu de conservation, et le délai de détention d'un an prévu par le paragraphe 23 de la loi allemande relative à l'impôt sur le revenu continue de courir sans interruption. La fiscalité entre en jeu lors d'une vente et lors d'un échange contre une autre cryptomonnaie.

Concrètement, cela signifie que vous devez emporter vos données d'acquisition avec vous. Qui répartit ses avoirs sur plusieurs plateformes perd facilement de vue la date et le coût d'acquisition de chaque lot, et ce sont précisément ces éléments que l'administration fiscale réclamera plus tard. Une documentation propre s'obtient au mieux avec un outil fiscal et de suivi de portefeuille qui consolide les entrées et les sorties de toutes les plateformes. Pour des avoirs importants et pour les cas douteux, cela ne remplace pas un conseil fiscal.

Repères et seuils : à quoi mesurer la solidité d'une promesse de protection

Pour que vous n'ayez pas à refaire ce raisonnement chez chaque prestataire, voici les points de contrôle qui ressortent de notre relevé.

1. L'agrément avant le fonds. Vérifiez d'abord si le prestataire dispose d'un agrément MiCA et quelle autorité le supervise. C'est seulement à cette condition que joue la responsabilité non contournable de l'article 75. Un fonds sans agrément est une promesse, pas un droit.
2. Lire la taille du fonds en jetons, pas en dollars. Le montant en dollars affiché sur la page d'un prestataire est un instantané du cours. L'encours en BTC ou en ETH est la grandeur comparable.
3. Calculer face à un sinistre réaliste. Rapportez la taille du fonds à un incident de l'ordre de grandeur que ce secteur a réellement connu. Un taux de couverture proche de 1 n'est pas une marge.
4. Lire les conditions d'indemnisation. La page du fonds de Bitget, par exemple, mentionne expressément comme condition des événements affectant l'ensemble de la plateforme et se réserve l'examen de chaque demande. Une perte individuelle sur un compte n'est manifestement pas couverte.
5. Vérifier l'ancienneté de la preuve de réserves. Une date de référence remontant à plusieurs mois dit peu de chose de la situation actuelle.
6. Considérer séparément les avoirs en euros. La garantie des dépôts n'entre en ligne de compte que pour des sommes en monnaie détenues auprès d'une banque partenaire agréée.

Méthode de notre relevé : six objets, une date de référence, trois points ouverts

La date du relevé est le 25 septembre 2026, et toutes les consultations ont eu lieu entre 12h50 et 13h05 UTC. Six objets ont été examinés : la page publique du fonds de Bitget, la communication MiCAR du même prestataire, la page de preuve de réserves de Kraken, la page de sécurité de Bitpanda, les paragraphes 2 et 8 de la loi allemande sur la garantie des dépôts, ainsi que la notice de la BaFin sur les services sur crypto-actifs au titre de MiCAR. Les données de marché proviennent d'un relevé distinct effectué à 12h50 UTC. Méthode : consultation des indications dans leur version d'origine, puis conversion par nos soins de l'encours en jetons vers le dollar au cours au comptant et mise en regard du montant du sinistre communiqué.

Trois choses n'ont pas pu être vérifiées, et elles doivent être nommées ouvertement. Premièrement, l'encours en jetons du fonds n'a pas pu être recompté de façon indépendante sur la chaîne de blocs ; la page du fonds renvoie certes à un portefeuille, mais un comptage propre de l'adresse n'était pas possible dans le cadre de ce relevé. Les 5 500 BTC sont donc une indication du prestataire que nous reprenons, et non une quantité que nous aurions comptée. Deuxièmement, le montant de la perte de 351,6 millions de dollars est une indication de l'entreprise qui n'était pas définitivement confirmée de source externe au moment de notre consultation. Troisièmement, le texte intégral du règlement MiCA n'était pas accessible depuis notre environnement ; la restitution de l'article 75 s'appuie sur une version généralement accessible du texte réglementaire et sur la notice de la BaFin pour la définition du service de conservation.

Vérifier un fonds de protection : ce qu'il faut en retenir

1. Vérifiez dès aujourd'hui sous quelle supervision se trouve votre place de marché. Cherchez sur le site de votre prestataire l'agrément, l'autorité de supervision et le siège de la société avec laquelle vous avez contracté. Si vous y trouvez une procédure en cours plutôt qu'une autorisation délivrée, vous savez que la responsabilité de l'article 75 ne joue pas encore. Un point de départ ordonné est offert par le panorama des plateformes crypto réglementées.
2. Refaites une fois vous-même le calcul du fonds de protection de votre prestataire. Prenez l'encours en jetons affiché, multipliez-le par le cours du jour et rapportez le résultat à un sinistre de l'ordre de 350 millions de dollars. Si le taux de couverture est proche de 1, le fonds est un signal et non un filet de sécurité. Le classement des grandes places de marché sur les frais, la supervision et la conservation figure dans notre comparatif des meilleures plateformes crypto.
3. Séparez avoirs de négociation et avoirs de long terme. Ce que vous ne déplacerez pas dans les prochaines semaines n'a pas sa place sur un compte de plateforme. Le transfert vers votre propre portefeuille matériel ne déclenche aucune imposition et n'interrompt pas le délai de détention ; conservez la phrase de récupération séparément de l'appareil et notez la date et le coût d'acquisition de chaque lot.

(Au 25 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)