Selon un article de franceinfo publié le 15 octobre 2026, un fabricant français de portefeuilles physiques de cryptomonnaies a confirmé le 10 octobre que des appareils vendus par un revendeur établi en Asie du Sud-Est avaient été ouverts puis modifiés avant leur vente : un composant ajouté permettrait de transmettre aux voleurs la phrase de récupération secrète de 24 mots définie lors de la configuration de l’appareil. D’après la même source, le nombre d’appareils concernés reste inconnu, le fabricant assure que ses propres canaux de distribution ne sont pas touchés et qu’aucune manipulation n’a été détectée en Europe à ce stade, tandis qu’une société d’analyse citée par franceinfo évalue le préjudice à une centaine de millions de dollars pour plus de 300 comptes. À la date de rédaction du présent article, aucun montant n’a été confirmé par une source officielle, aucune responsabilité n’est établie, l’enquête doit encore déterminer à quelle étape les appareils ont été modifiés, et les contrats déjà signés priment sur toute analyse générale : seul le juge, saisi d’un litige précis, pourrait trancher. Les développements qui suivent décrivent donc le droit applicable à tout détenteur de cryptomonnaies confronté à un vol : ce qu’il faut déclarer à l’administration fiscale, les pièces à conserver, puis les recours envisageables contre le vendeur, le fabricant, la plateforme ou l’assurance.

I. Déclarer la perte au fisc : ce que l’administration admet et ce qu’elle refuse

A. Vol de cryptomonnaies et impôt : pas de cession, pas de plus-value, pas de moins-value

La première erreur serait de traiter les cryptomonnaies volées comme des cryptomonnaies vendues à perte. Le régime fiscal des cessions d’actifs numériques ne vise que les cessions à titre onéreux réalisées par des personnes physiques fiscalement domiciliées en France, que l’impôt sur le revenu s’applique à ces cessions « dans les conditions prévues au présent article », selon l’article 150 VH bis du code général des impôts. Un vol n’est pas une cession : la victime ne perçoit aucun prix, ne reçoit aucune contrepartie et ne consent à rien. Il n’y a donc ni prix de cession à déclarer, ni plus-value à calculer, ni impôt à payer sur les sommes dérobées. Déclarer le montant volé comme une cession serait une erreur de qualification qui fausserait l’ensemble de la déclaration annuelle.

Symétriquement, le vol ne crée pas une moins-value imputable. La loi prévoit que « Les moins-values brutes subies au cours d’une année d’imposition au titre des cessions de biens ou droits mentionnés au I, autres que celles entrant dans le champ du II, sont imputées exclusivement sur les plus-values brutes de même nature, réalisées au titre de cette même année », toujours selon l’article 150 VH bis du code général des impôts. Seules les moins-values nées de cessions réelles peuvent donc s’imputer sur les plus-values de même nature de la même année. Des cryptomonnaies subtilisées sans aucune cession n’entrent pas dans ce mécanisme : elles ne réduisent pas l’impôt dû sur d’autres plus-values de l’année, et elles ne sont pas reportables. Celui qui a réalisé par ailleurs des cessions imposables de cryptomonnaies dans l’année ne peut pas utiliser le vol pour effacer leur imposition.

Deux situations doivent être distinguées avec soin. Si le portefeuille contenait encore un solde après le vol et que le détenteur le revend ou le convertit en euros, cette revente constitue une cession à titre onéreux distincte du vol, soumise au régime normal : « Le prix de cession à retenir est le prix réel perçu ou la valeur de la contrepartie obtenue par le cédant, le cas échéant comprenant la soulte qu’il a reçue ou minoré de la soulte qu’il a versée lors de cette cession. », comme l’énonce l’article 150 VH bis du code général des impôts, et l’impôt suit. De même, les échanges entre cryptomonnaies sans soulte bénéficient d’un sursis : « Les dispositions du I du présent article ne sont pas applicables, au titre de l’année d’échange, aux opérations d’échange sans soulte entre crypto-actifs définis au même I ou droits s’y rapportant ». Transférer en urgence les fonds restants vers une adresse saine n’est donc pas en soi un événement imposable, mais la revente ultérieure contre des euros le sera.

Le taux applicable aux plus-values des cessions réelles reste celui du prélèvement forfaitaire : « Les plus-values réalisées dans les conditions prévues à l’article 150 VH bis sont imposées au taux forfaitaire de 12,8 % », dispose l’article 200 C du code général des impôts, avec une option possible pour le barème progressif de l’impôt sur le revenu, option « expresse et irrévocable » exercée lors du dépôt de la déclaration. Enfin, les petites cessions restent hors champ : l’article 150 VH bis du code général des impôts exonère les cédants dont la somme des prix de cession de l’année n’excède pas 305 €, hors échanges sans soulte : « Les personnes réalisant des cessions dont la somme des prix, tels que définis au A du III, n’excède pas 305 € au cours de l’année d’imposition hors opérations mentionnées au A du présent II, sont exonérées. » Ce seuil s’apprécie sur les prix des cessions réelles, jamais sur le montant volé.

B. Porter la perte à la connaissance du fisc sans fausser sa déclaration

Ne rien déclarer du tout serait une faute, mais déclarer n’importe comment en serait une autre. La loi impose aux redevables de porter « Les redevables portent sur la déclaration annuelle prévue à l’article 170 le montant global de la plus ou moins-value réalisée au titre des cessions imposables de l’année. » Ils doivent y joindre « une annexe conforme à un modèle établi par l’administration, sur laquelle ils mentionnent et évaluent l’ensemble des plus ou moins-values réalisées à l’occasion de chacune des cessions imposables effectuées au cours de l’année ou les prix de chacune des cessions exonérées en application du B du II. », selon l’article 150 VH bis du code général des impôts. Concrètement, la victime d’un vol qui a aussi réalisé des cessions imposables dans l’année déclare normalement ces cessions, sans y mêler le vol. Le formulaire d’annexe dédié aux cessions d’actifs numériques retrace chaque cession réelle, son prix et son calcul : y inscrire une ligne correspondant aux fonds dérobés reviendrait à présenter à l’administration une cession qui n’a jamais existé.

Parallèlement, les obligations déclaratives ne se limitent pas aux cessions. Toute personne domiciliée ou établie en France doit déclarer les portefeuilles concernés : « Les personnes ou les entités juridiques, domiciliées ou établies en France, sont tenues de déclarer, en même temps que leur déclaration de revenus ou de résultats, les références des portefeuilles de crypto-actifs soumis au règlement (UE) 2023/1114 du Parlement européen et du Conseil du 31 mai 2023 sur les marchés de crypto-actifs, et modifiant les règlements (UE) n° 1093/2010 et (UE) n° 1095/2010 et les directives 2013/36/UE et (UE) 2019/1937 ouverts, détenus, utilisés ou clos auprès d’entreprises, personnes morales, institutions ou organismes établis à l’étranger ainsi que celles des crypto-actifs uniques et non fongibles, au sens du 3 de l’article 2 du même règlement, détenus ou utilisés à l’étranger. Les modalités d’application du présent article sont fixées par décret. » C’est ce qu’exige l’article 1649 bis C du code général des impôts. Un portefeuille compromis reste un portefeuille à déclarer tant qu’il existe : le vol ne dispense pas de cette formalité, et la clôture éventuelle du portefeuille après le vol devra elle aussi être signalée l’année de sa clôture.

La bonne pratique consiste à signaler la perte à l’administration par écrit, de manière distincte de la déclaration chiffrée. Un courrier joint à la déclaration ou adressé au service des impôts, exposant les faits avec dates, montants et références de la plainte, crée une trace et évite tout soupçon de dissimulation si l’administration s’interroge plus tard sur l’écart entre le patrimoine déclaré et les mouvements constatés. Ce signalement ne crée pas de droit à déduction, mais il protège la cohérence du dossier : le contribuable qui a perdu des cryptomonnaies puis en rachète, ou qui rapatrie des fonds résiduels, présentes des mouvements que seuls des justificatifs permettront d’expliquer lors d’un contrôle.

Le dossier de preuves fiscales se prépare dès les premières heures. Il faut conserver le récépissé de plainte, les relevés d’achat initiaux des cryptomonnaies, les adresses publiques concernées, les identifiants des transactions de sortie frauduleuses avec leurs dates et montants, les captures des soldes avant et après, les échanges avec le vendeur et le fabricant, ainsi que toute attestation de la plateforme d’échange. Ces pièces serviront deux fois : devant le fisc pour justifier que les fonds manquants correspondent à un vol et non à une cession occulte, et devant le juge pour chiffrer le préjudice. Les actions personnelles se prescrivent « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. », rappelle l’article 2224 du code civil : passé ce délai, toute demande en réparation sera tardive, même si le préjudice reste entier.

II. Obtenir réparation : plainte, preuve et responsables à actionner

A. Qualifier les faits et figer la preuve avant qu’elle ne s’efface

Le vol de cryptomonnaies par compromission d’un portefeuille matériel mobilise d’abord le droit pénal. La définition de base tient en une phrase : « Le vol est la soustraction frauduleuse de la chose d’autrui. », selon l’article 311-1 du code pénal. Les cryptomonnaies, biens meubles incorporels susceptibles d’appropriation et d’échange contre une valeur, peuvent faire l’objet d’une soustraction au sens de ce texte, même si l’appréhension est dématérialisée. À cette qualification s’ajoutent les infractions propres aux systèmes de traitement automatisé de données : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. », dispose l’article 323-1 du code pénal, tandis que l’article 323-3 dispose : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende. », selon l’article 323-3 du code pénal. L’ajout clandestin d’un composant destiné à capter la phrase de récupération, puis l’exfiltration des fonds, pourraient correspondre à ces qualifications, sous l’appréciation du parquet puis du juge.

Le dépôt de plainte doit intervenir sans attendre. Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes des victimes d’infractions pénales, y compris dans un service territorialement incompétent qui la transmettra au service compétent, comme le prévoit l’article 15-3 du code de procédure pénale. La plainte doit décrire avec précision la chronologie : date et lieu d’achat de l’appareil, date de configuration, date et heure de découverte des mouvements suspects, adresses de destination des fonds, montants et contre-valeurs en euros au jour du vol. Il faut y joindre le dossier de pièces constitué pour le fisc, augmenté du numéro de série de l’appareil, des photographies du composant suspect s’il a été découvert, et de la preuve d’achat auprès du revendeur. La victime peut se constituer partie civile pour obtenir réparation devant la juridiction répressive : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction. », énonce l’article 2 du code de procédure pénale.

La préservation de la preuve technique conditionne tout le reste. L’appareil compromis ne doit ni être réinitialisé, ni mis à jour, ni jeté : il constitue la pièce maîtresse qui permettra à un expert de constater la modification matérielle. Les journaux de l’application compagnon, les courriels de confirmation et l’historique des adresses doivent être sauvegardés, et les fonds résiduels transférés vers une adresse saine générée sur un appareil vérifié, en conservant la trace de ce transfert de sauvegarde. Un constat d’huissier, devenu constat de commissaire de justice, réalisé avant toute manipulation, fige l’état des soldes et des transactions à une date certaine. Pour suivre la piste des fonds, les explorateurs de chaînes publiques permettent de retracer les mouvements de sortie, étant entendu que le mélange des fonds volés avec d’autres adresses complique leur identification et que seule une réquisition judiciaire permettra d’obtenir des plateformes les identités liées aux adresses.

B. Vendeur, fabricant, plateforme, assurance : qui doit réparer et dans quel ordre les actionner

Le premier responsable à mettre en cause est souvent le plus proche : le vendeur de l’appareil. Lorsqu’un portefeuille matériel acheté neuf s’avère modifié avant sa première utilisation, le défaut de conformité est manifeste. La loi est claire : « Le vendeur délivre un bien conforme au contrat ainsi qu’aux critères énoncés à l’article L. 217-5 . », et « Il répond des défauts de conformité existant au moment de la délivrance du bien au sens de l’article L. 216-1 , qui apparaissent dans un délai de deux ans à compter de celle-ci », selon l’article L. 217-3 du code de la consommation. Un appareil ouvert et équipé d’un composant espion avant sa vente n’est pas conforme à ce qu’un acheteur peut légitimement attendre d’un coffre-fort numérique neuf et scellé. L’acheteur peut exiger la réparation ou le remplacement, puis, en cas d’impossibilité, la résolution du contrat, en adressant au vendeur une mise en demeure détaillée avec le constat d’huissier et la plainte en pièces jointes. Si l’appareil a été acheté à distance, le droit de la consommation ajoute une corde à l’arc : « Le consommateur dispose d’un délai de quatorze jours pour exercer son droit de rétractation d’un contrat conclu à distance, à la suite d’un démarchage téléphonique ou hors établissement, sans avoir à motiver sa décision ni à supporter d’autres coûts que ceux prévus aux articles L. 221-23 à L. 221-25 . », rappelle l’article L. 221-18 du code de la consommation. Passé ce délai, la garantie des vices cachés prend le relais : « Le vendeur est tenu de la garantie à raison des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine, ou qui diminuent tellement cet usage que l’acheteur ne l’aurait pas acquise, ou n’en aurait donné qu’un moindre prix, s’il les avait connus. », dispose l’article 1641 du code civil. Un implant dissimulé à l’intérieur d’un boîtier présenté comme inviolable correspond typiquement à un défaut caché rendant la chose impropre à sa destination de stockage sécurisé.

Le fabricant peut être recherché sur le terrain contractuel et délictuel. S’il s’est engagé sur la sécurité inviolable de ses appareils et sur un réseau de revendeurs agréés, la défaillance de cette promesse ouvre l’action en responsabilité contractuelle : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. », selon l’article 1231-1 du code civil. Sur le terrain délictuel, l’article 1240 énonce : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer », comme l’énonce l’article 1240 du code civil : encore faudra-t-il démontrer une faute précise du fabricant, par exemple un contrôle insuffisant de sa chaîne de distribution, et un lien direct avec le vol. Les communiqués du fabricant qui décrivent les appareils concernés, les canaux épargnés et les vérifications recommandées seront lus de près : ils fixent l’état des connaissances et des engagements à la date des faits, sans préjuger des responsabilités que seul le juge appréciera.

La plateforme d’échange ou le prestataire sur actifs numériques par lequel les fonds ont transité mérite une mise en demeure rapide, pour obtenir le gel des avoirs et l’identification des adresses, mais sans illusion sur l’issue d’une action en responsabilité. Ces prestataires opèrent sur des crypto-actifs que la loi définit comme « ceux soumis au règlement (UE) 2023/1114 du Parlement européen et du Conseil du 31 mai 2023 sur les marchés de crypto-actifs », selon l’article L. 54-10-1 du code monétaire et financier. Surtout, les juges rappellent avec constance les limites de leur devoir de vigilance. Le tribunal judiciaire de Paris, 9e chambre 2e section, dans son jugement du 18 septembre 2024 (RG n° 23/13786) rendu à propos d’un prestataire français d’actifs numériques, a ainsi débouté la victime d’une escroquerie aux cryptomonnaies : le tribunal a jugé que le prestataire n’avait pas à mener d’investigations particulières sur l’identité du bénéficiaire ou l’objet de l’opération, ni à empêcher son client d’accomplir un acte inopportun ou dangereux pour ses intérêts, et qu’il n’avait pas à se préoccuper de la destination des fonds ni de l’opportunité des opérations ordonnées. Faute de manquement démontré, et dès lors que le demandeur avait agi de manière assumée selon le tribunal, la responsabilité du prestataire, simple détenteur des cryptoactifs transférés sur ordre de son client, n’a pas été retenue. Autrement dit, la plateforme qui exécute les ordres de son client n’a pas à juger de leur opportunité, et seule la démonstration d’anomalies manifestes ignorées permettrait d’engager sa responsabilité : une démonstration exigeante, à ne tenter que sur un dossier solide. Les lecteurs qui souhaitent approfondir la conduite à tenir juste après la découverte d’un vol trouveront un complément pratique dans notre dossier consacré aux portefeuilles compromis et aux démarches de récupération.

L’assurance reste enfin une piste à ne pas négliger, à condition de relire son contrat avant d’agir. Les garanties vol des contrats multirisques habitation couvrent parfois les biens numériques ou les valeurs détenues au domicile, avec des plafonds et des exclusions qu’il faut vérifier ligne à ligne, tandis que les assurances dédiées aux actifs numériques et les garanties des cartes bancaires haut de gamme peuvent contenir des clauses applicables aux détournements en ligne. La déclaration de sinistre doit être adressée par écrit dans le délai prévu au contrat, avec le récépissé de plainte et l’inventaire chiffré des fonds dérobés, et toute réserve ou refus de l’assureur doit être contesté par courrier recommandé avant de saisir le médiateur de l’assurance. Quel que soit le responsable visé, vendeur, fabricant, plateforme ou assureur, la mise en demeure préalable reste indispensable : elle fait courir les intérêts, interrompt la prescription et conditionne souvent la recevabilité des demandes ultérieures de dommages et intérêts.

Conclusion

Des cryptomonnaies volées ne sont ni une cession ni une moins-value : elles ne s’imposent pas et ne s’imputent pas, mais elles se déclarent avec rigueur, se prouvent avec méthode et se réclament avec ténacité. Le réflexe fiscal consiste à déclarer normalement les cessions réelles de l’année, à maintenir les déclarations de portefeuilles exigées par la loi et à signaler le vol par écrit avec un dossier de pièces complet. Le réflexe judiciaire consiste à déposer plainte sans délai, à préserver l’appareil et les traces, puis à actionner dans l’ordre le vendeur sur la conformité et les vices cachés, le fabricant sur ses engagements, la plateforme pour le gel et l’identification, et l’assureur sur les garanties du contrat, en gardant à l’esprit que les juges se montrent exigeants sur la preuve des fautes. Les montants évoqués dans la presse autour de l’affaire d’octobre 2026 ne sont à ce jour corroborés par aucune source officielle, l’enquête doit encore établir où et par qui les appareils ont été modifiés, et aucune responsabilité n’est établie : chaque victime devra donc faire examiner sa situation propre, contrats en main, par un professionnel du droit, car les contrats signés priment sur toute analyse générale et seul le juge, saisi du litige, pourra trancher.