Après une “hack”, l’idée que “nous vous compenserons” est désormais une loi en Europe – mais pas aux États-Unis.

En février 2025, des pirates informatiques ont vidé les ressources…Environ 1,5 milliard d’ether provenant de l’exchange Bybit.Et Bybit a indiqué aux clients que tout allait bien : les actifs des clients étaient toujours soutenus en force 1:1, et l’exchange a renouvelé ses réserves.Prêts d’urgence de la part de Galaxy Digital, FalconX et WintermuteEn juillet 2024, des hackers ont volé 230 millions de dollars sur la bourse indienne WazirX. Les clients de cette bourse ont donc été lésés.restructuration approuvée par le tribunalqueIls ont remboursé environ 85 % des demandes approuvées.Valorisé à partir d’une date précise – un coupe de cheveu décoré d’un jeton de récupération. En 2014, les clients de Mt. Gox…a fait failliteEt ils se sont alignés derrière un fiduciaire.

Lisez ces trois résultats côte à côte ; la colonne “récompense” ressemble à un jeu de hasard, déterminé au cas par cas, par celui qui détient les clés. C’est le état des choses dans lequel la plupart des investisseurs américains continuent d’agir : après une attaque informatique, ce que vous obtenez en retour est une promesse… et cette promesse vaut autant que ce que la plateforme décide.

Cela n’est plus vrai en Europe. Le changement est modeste, spécifique et mesurable – c’est justement pourquoi il est important.

La promesse est passée des termes du contrat à la loi.

Le même mécanisme de traitement est désormais réglementé différemment en fonction du pays où se trouve votre portefeuille. La réglementation européenne sur les marchés des crypto-assets (MiCA)…Règlement (UE) 2023/1114Elle a appliqué son régime de licence pour les fournisseurs de services en matière de cryptomonnaies.Du 30 décembre 2024Et les périodes de protection nationale qui permettent aux entreprises existantes de continuer à fonctionner sous leurs licences antérieures.en grande partie fermé à la mi-2026.

Au centre de ce régime se trouve l’article 75(8). Pour un prestataire autorisé à conserver les actifs cryptographiques des clients, cela signifie une obligation juridique claire : l’entreprise est…Responsables devant leurs clients pour la perte de tout actif crypto ou pour l’impossibilité d’accéder aux actifs crypto en raison d’un incident dont ils sont responsables.Avec cette responsabilité, celle-ci est limitée au prix de marché du actif cryptique qui a été perdu au moment où la perte s’est produite.

C’est le principe d’identité. Avant cette règle, « nous vous compenserons » était une stratégie marketing que le prestataire pouvait utiliser après une semaine calme. Après cette règle, c’est un élément comptable dans le bilan de l’entreprise : les problèmes causés par le prestataire sont des pertes pour l’entreprise, et non des gains pour vous. L’unique issue est limitée : le prestataire doit prouver que les pertes se sont produites indépendamment de la prestation du service concerné, ou indépendamment des activités du prestataire de services en cryptomonnaies. Si les clés étaient sous le contrôle du prestataire et que l’attaque provenait de ses systèmes, alors cette explication ne s’applique pas.

Quelle est la promesse… et ce qu’elle n’est pas.

Trois points importants permettent de rester honnête dans la description du titre ; c’est aussi la partie que les résumés laissent généralement de côté.

D’abord, la responsabilité incombe au service de détention et d’administration agréé, et non automatiquement à chaque solde stocké sur un établissement de commerce général. Le règlement MiCA définit clairement les limites : l’article 75 constitue le règlement applicable aux services de détention autorisés.Le principe de préservation défini à l’article 70 s’applique à tous les prestataires qui détiennent des actifs clients. Cependant, il ne prévoit pas de mesures légales similaires pour la compensation des pertes.L’endroit où se trouvent vos pièces de monnaie sur la plateforme – et sous quelle autorisation elles sont placées – détermine si la promesse vous atteint ou non.

Deuxièmement, la compensation est calculée au moment de la perte, et non au moment où vous recevez votre paiement. Si vos actions sont volées à un prix donné, et que le marché double avant l’échéance du paiement, la loi vous permet de recevoir une compensation en euros au même niveau que l’ancien prix, même si vous manquez les pièces en argent elles-mêmes. La compensation est donc une garantie minimale, et non une substitution complète.

Troisièmement, il s’agit d’une responsabilité directe liée au bilan financier de l’entreprise. Il n’y a pas de fonds de réserve, de garantie de sécurité derrière cela. L’analogie que l’on peut utiliser est celle de l’assurance des dépôts ou du SIPC… Mais cette analogie ne tient pas compte du fait que, si le dépositaire est attaqué et insolvable, qui paiera les dommages ? L’assurance des dépôts est financée par des fonds collectifs ; le MiCA, quant à lui, ne constitue qu’une demande non financée envers l’entreprise qui a perdu votre argent. La garantie est donc limitée par la solidité du bilan financier de l’entreprise.

Ce que cela signifie pour un portefeuille américain

Aucune disposition du MiCA ne protège les clients américains qui détiennent des cryptos sur des plateformes américaines. La FDIC ne couvre pas les cryptos détenus sur des exchanges, et SIPC ne protège que les valeurs mobilières détenues par des brokers, et non les cryptos eux-mêmes. Pour un investisseur de consommation américain, la compensation en cas d’attaque reste la même qu’à l’époque de Mt. Gox : une négociation concernant les actifs restants de l’entreprise ciblée.

Cette divergence est en elle-même un facteur important pour les investissements. Elle transforme la question de « où je conserve mes pièces » en une question liée aux compétences juridiques. Un dépositaire autorisé par l’UE qui perd vos pièces a l’obligation légale de vous rembourser jusqu’au montant correspondant à la valeur perdue. En revanche, les engagements du dépositaire américain sont purement contractuels et peuvent être révisés en cas de situation difficile. Pour ceux qui cherchent une protection plus élevée, le lieu approprié est un établissement autorisé par MiCA. Il convient de noter que cette protection est une dette sur le bilan de l’entreprise ; donc, son adéquation du capital et la séparation réelle des actifs des clients sont les critères réels pour déterminer si l’engagement est réellement rempli.

Pour les plateformes elles-mêmes, la règle est une ligne de coût qui n’existait pas auparavant. Un fournisseur qui doit supporter des pertes financières jusqu’à la valeur marché de ces pertes présente donc une exposition financière importante. Cela favorise les entités dotées d’un capital suffisant, et pénalise ceux dont le capital est insuffisant. De plus, cela donne une raison de considérer les données relatives aux réserves et à la solvabilité comme des indicateurs liés au risque de contrepartie, plutôt que comme des éléments liés au marketing.

La condition de pause

L’objection principale à toute cette méthode est le risque de fuite. Le texte des règlements, qui est considéré comme leur responsabilité, a une durée de vie juridique longue. Certains prestataires perdront donc leurs revenus en raison d’exploitations sophistiquées, et ils prétendront que l’attaque était indépendante de leurs activités. Le jour où un tribunal allemand ou une entreprise supervisée par la BaFin parvient à faire valoir cette exception pour les cas de piratage de gestion de fonds, la promesse légale deviendra moins importante que celle qui remplaçait elle-même. De plus, la réévaluation des conditions de gestion de fonds réglementées par l’UE par rapport aux autres conditions sera renouvelée, plutôt que abandonnée.

Jusqu’à cette décision, la situation était simple : l’Europe transformait une compensation liée au tirage de la pièce en une responsabilité limitée et autorisée. Les États-Unis continuent donc à utiliser ce système de compensation basé sur le tirage de la pièce.