MetaMask avis : fiable ou pas en cas de faillite ? Incident du 28 septembre, faille Web3Auth du 6 novembre, connexion Google ou Apple et recours (2026)

« MetaMask avis », « metamask fiable », « metamask login » : ces recherches progressent en France, et la dernière a bondi sur une seule journée selon Google Trends. Deux communications officielles l’éclairent. Le 5 novembre 2026, MetaMask, nom commercial de la société américaine Consensys Software Inc., a fait le point sur un accès non autorisé à une partie de son infrastructure, identifié le 28 septembre : environ 0,385 ETH de récompenses de staking ont été détournés, les validateurs Ethereum concernés ont été retirés par précaution, et la société dit n’avoir trouvé aucune preuve d’atteinte au capital placé, aux clés de retrait ni aux portefeuilles. Le 6 novembre, Web3Auth, fournisseur de connexion par Google ou Apple racheté par Consensys en juin 2025, a suspendu son service de portefeuilles intégrés ; il a ensuite rattaché la faille à des portefeuilles utilisés par l’application Keplr, qui évoque une « private key breach », tout en affirmant n’avoir trouvé « no evidence that MetaMask users are impacted ».

Trois réserves s’imposent. À la date de rédaction, le 12 novembre 2026, aucune source officielle ne constate de perte de fonds dans les portefeuilles de l’application, nous n’avons trouvé aucune décision de justice ni aucune mesure d’une autorité française visant l’éditeur ou son prestataire, et aucune responsabilité n’est établie. Les faits viennent des communications de ces sociétés, qui font aussi état de mesures de protection : sortie des validateurs, correction le jour même, mise à l’abri des fonds menacés. Enfin, les conditions d’utilisation acceptées priment sur cette analyse générale, sous réserve des règles impératives du droit français, et seul le juge tranche un litige.

Voici ce que l’application garde réellement et ce que deviendraient vos cryptos en cas de défaillance (I), puis ce que valent ses conditions face au droit français et les recours depuis la France (II).

I. Fiable ou pas en cas de faillite ? Ce que l’application garde, et ce que deviendraient vos cryptos si l’éditeur ou un prestataire défaillait

A. Phrase secrète, connexion Google ou Apple, staking, compte rémunéré, carte : qui détient quoi d’après les documents de l’éditeur

Le point de départ est contractuel. Les conditions d’utilisation, lues le 12 novembre 2026, présentent l’éditeur comme l’exploitant d’une « platform for self-custodial finance », c’est-à-dire d’un outil dans lequel l’utilisateur garde lui-même ses actifs. Sa mise à jour du 5 novembre rappelle que les phrases secrètes de récupération sont stockées localement, sur l’appareil de chaque utilisateur. Pour un portefeuille classique, créé avec une phrase de douze mots, vos cryptos ne sont donc inscrites dans les livres d’aucune société : elles restent sur les chaînes de blocs, à des adresses que seule cette phrase permet de contrôler. Si l’éditeur cessait son activité, la phrase permettrait en principe de retrouver les mêmes adresses dans un autre logiciel compatible. À l’inverse, si vous perdez la phrase ou si un tiers l’obtient, aucune société ne peut vous restituer quoi que ce soit, puisque aucune ne détient vos fonds.

Le droit européen tire la même distinction. Le règlement sur les marchés de crypto-actifs, dit MiCA, encadre les prestataires qui gardent des crypto-actifs pour le compte de clients ; son considérant 83 exclut en revanche de son champ les fournisseurs de logiciels pour des « portefeuilles non hébergés ». La conséquence pratique est nette : les règles qui imposent à un dépositaire agréé de séparer les actifs de ses clients de son propre patrimoine, et qui le rendent responsable de leur perte, ne jouent pas pour un logiciel qui ne garde rien. Le fonds de garantie français n’intervient pas davantage. Selon l’article L. 312-4 du code monétaire et financier, ce sont les établissements de crédit, les entreprises d’investissement et certaines autres sociétés agréées en France qui « adhèrent au fonds de garantie des dépôts et de résolution », pas les éditeurs de logiciels de portefeuille ; aucun mécanisme de garantie ne couvre la valeur de crypto-actifs conservés par vous-même.

La connexion par Google, Apple ou Telegram modifie en partie ce schéma. D’après les pages d’aide de l’éditeur, la phrase secrète est alors chiffrée, sauvegardée en ligne et protégée par un système de fragmentation : la clé de chiffrement est répartie entre plusieurs serveurs, cinq selon la page d’aide en français, et la restauration exige à la fois l’identifiant Google, Apple ou Telegram et un mot de passe choisi par l’utilisateur. L’éditeur affirme qu’aucune partie, lui compris, ne peut reconstituer seule la phrase, et que le mot de passe reste l’élément qui ne dépend que de vous ; il demande de le protéger comme la phrase elle-même. La page consacrée à cette connexion précise qu’il conserve l’identifiant de votre compte Google, Apple ou Telegram, des données de connexion et les adresses de vos portefeuilles, qui ne peuvent pas être dissociées de ce compte.

Juridiquement, la question de savoir si le fait de détenir des fragments de clé revient à contrôler les moyens d’accès aux crypto-actifs, au sens de la définition de la conservation donnée par l’article 3 du règlement MiCA, reste ouverte : tant qu’aucun serveur ne peut rien reconstituer sans le mot de passe, la qualification de dépositaire paraît difficile à retenir, à notre lecture. La dépendance pratique, elle, est certaine. Pour restaurer le portefeuille sur un nouvel appareil, l’application doit interroger ces serveurs puis télécharger la sauvegarde chiffrée ; si le service était suspendu ou disparaissait, un utilisateur qui n’aurait jamais noté sa phrase par ailleurs pourrait se retrouver limité à l’appareil sur lequel il est encore connecté. La page d’aide en français le reconnaît d’ailleurs : le compte dispose toujours d’une phrase secrète, qu’il est recommandé d’afficher et de conserver en lieu sûr, car elle reste « le seul moyen d’accéder à votre portefeuille » si vous perdez le mot de passe ou l’accès à votre compte Google, Apple ou Telegram.

Le staking proposé dans l’application obéit à une autre logique. Selon l’annexe des conditions, vous déléguez vos actifs à un validateur exploité par l’éditeur ou par un tiers ; l’éditeur indique fournir des « non-custodial services » et ne pas avoir accès à la clé qui permet de récupérer les actifs placés et les récompenses. Le même texte ajoute que le retrait peut prendre des heures, voire des jours, selon la file d’attente du protocole, que les récompenses ne sont pas garanties et que l’éditeur peut mettre fin à l’offre avec un préavis de quatre-vingt-dix jours, à l’issue duquel il peut lui-même lancer le retrait vers le portefeuille d’origine. Ses avertissements sur le staking, datés de décembre 2023, précisent que ni l’offre ni les services tiers auxquels elle se connecte ne constituent, selon lui, « des activités réglementées ». En cas de défaillance de l’éditeur, le capital resterait donc, d’après ces documents, sous le contrôle de vos clés de retrait ; le risque porterait surtout sur les délais, les récompenses perdues et les pénalités du réseau, que nous détaillons dans notre article sur le staking, le slashing et la faillite d’une plateforme.

Le compte rémunéré, appelé Money Account, va plus loin dans le risque. D’après l’annexe des conditions, il permet de déposer des actifs dans des coffres déployés sur des protocoles de finance décentralisée, avec des infrastructures et des stratégies fournies par des tiers. Le rendement affiché est variable et peut être nul, vous pouvez récupérer moins que votre mise, et les retraits peuvent être retardés ou indisponibles lorsque la liquidité manque. Le texte le dit en toutes lettres : ce compte n’est ni un compte bancaire, ni un compte d’épargne, ni un produit de dépôt garanti (« not a bank account, savings account »). Le stablecoin mUSD affiché dans l’application est, lui aussi, émis par des tiers et non par l’éditeur, qui exclut sa responsabilité en cas de gel ou de blocage décidé par l’émetteur ou par un prestataire de contrôle. Pour un épargnant, ces deux produits relèvent donc d’une logique de placement risqué, et non d’une épargne protégée.

La carte de paiement fonctionne encore autrement. D’après la page d’aide affichée pour la France, vous désignez des jetons de votre portefeuille et fixez un plafond de dépense ; les jetons restent dans votre portefeuille jusqu’au paiement, puis sont convertis en monnaie ayant cours légal au moment de la transaction. Le programme associe un réseau de cartes, un gestionnaire de programme et un émetteur de cartes, distincts de l’éditeur. Deux conséquences en découlent, à notre lecture. D’une part, le plafond que vous accordez permet au dispositif de mobiliser vos jetons jusqu’à ce montant : plus il est élevé, plus l’exposition est forte en cas d’incident. D’autre part, si des sommes en monnaie ayant cours légal restent un jour chez l’émetteur, par exemple après le remboursement d’un achat, elles relèvent des règles de protection de la monnaie électronique. En droit français, l’article L. 526-32 du code monétaire et financier prévoit que « Les fonds collectés en contrepartie de l’émission de monnaie électronique sont protégés », soit par cantonnement sur un compte distinct, soit par une assurance ou une garantie comparable ; dans le premier cas, ils le sont « contre tout recours d’autres créanciers de l’établissement de monnaie électronique, y compris en cas de procédures d’exécution ou de procédure d’insolvabilité ». L’émetteur étant établi hors de France, ce sont les règles européennes équivalentes, transposées dans son pays, qui s’appliqueraient.

B. Incidents de septembre et de novembre 2026 : ce qu’ils montrent, et ce que deviendraient vos actifs en cas de défaillance

La mise à jour publiée le 5 novembre 2026 retrace le premier incident. Le 28 septembre, l’éditeur a identifié un accès non autorisé à une partie de son infrastructure. Un attaquant a brièvement modifié, pour certains validateurs, les adresses qui recevaient les récompenses de la couche d’exécution, adresses qui étaient stockées de manière centralisée. Le problème a été corrigé le jour même, et environ 0,385 ETH de récompenses ont été détournés, des sommes distinctes, précise l’éditeur, de l’ether placé en staking par les clients. Tous les validateurs Ethereum concernés ont ensuite été retirés par précaution, sans incident selon la même source. L’éditeur affirme n’avoir trouvé aucune preuve d’atteinte au capital placé ni aux clés de retrait, ni d’indice d’une compromission des portefeuilles ou des phrases secrètes ; il reconnaît des retards temporaires de retrait et des récompenses manquées pendant la sortie des validateurs, et indique travailler directement avec les clients et partenaires touchés. Les utilisateurs du seul portefeuille n’ont, selon lui, aucune démarche à accomplir.

Pour un client du service de staking, la question devient celle de l’indemnisation des récompenses perdues ou retardées. En droit français, l’article 1231-1 du code civil pose le principe : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution ». Encore faut-il un préjudice certain. Saisie par le client d’une plateforme d’échange étrangère dont le compte avait été vidé après une connexion frauduleuse, la cour d’appel de Grenoble, le 26 juin 2025 (n° 24/02105) a refusé d’indemniser la plus-value espérée, au motif qu’une telle plus-value, liée à un cours très fluctuant, « ne caractérise pas une perte de chance certaine ». Elle a aussi écarté la demande de restitution en ether, « s’agissant d’une demande formulée en une monnaie n’ayant pas cours légal », et alloué une indemnité en euros, la plateforme ayant poursuivi en France, selon l’arrêt, une activité soumise à enregistrement avant de l’avoir obtenu. Cet arrêt, rendu par défaut, concerne une plateforme qui gardait les fonds ; il montre qu’une réclamation se chiffre en euros et qu’un gain espéré se prouve difficilement. Pour des récompenses de staking, le calcul des récompenses effectivement manquées pendant la sortie des validateurs, à partir des données publiques du réseau, constituerait une base plus solide qu’une projection de cours.

Le contentieux du staking entre professionnels illustre un second obstacle, celui des clauses. Le juge de l’exécution du tribunal judiciaire de Paris, le 28 octobre 2026 (n° 26/82012), s’est prononcé sur la cyberattaque subie en 2025 par un prestataire d’infrastructure de staking : un tiers s’était introduit dans ses systèmes et avait altéré une transaction, détournant des actifs qu’une société cliente détenait pour ses propres clients. Le contrat entre ces professionnels excluait la responsabilité du prestataire pour « un accès non autorisé, une violation de pare-feu ou tout autre piratage par des tiers », sauf faute lourde ou intentionnelle. Le juge a rétracté l’autorisation de saisies conservatoires, en retenant que la faute lourde invoquée « ne résulte pas de la simple apparence et est insuffisamment caractérisée dans son principe même, à ce stade », une expertise judiciaire étant en cours. Il a aussi relevé que les propres conditions de la société cliente l’exonéraient, à l’égard de ses utilisateurs, en cas d’attaque informatique, ce qui rendait son préjudice incertain. Selon l’article L. 511-1 du code des procédures civiles d’exécution, « Toute personne dont la créance paraît fondée en son principe peut solliciter du juge l’autorisation de pratiquer une mesure conservatoire », encore faut-il établir cette apparence. Rendue en premier ressort et entre professionnels, cette décision ne vaut pas pour un consommateur, qui dispose de protections propres contre les clauses limitatives, examinées plus loin.

Le second incident touche le fournisseur de connexion. Le 6 novembre 2026, celui-ci a annoncé un problème de sécurité affectant des services utilisés par certains tiers et suspendu temporairement son service de portefeuilles intégrés, que des applications emploient pour créer des portefeuilles accessibles notamment par Google ou Apple. Le 7 novembre, il a rattaché la faille à sa propre infrastructure et à certains portefeuilles intégrés d’une application de portefeuille. Il a ensuite lancé, avec cette application, des opérations dites de récupération : transférer les fonds des portefeuilles vulnérables, mais pas encore vidés, vers des portefeuilles de récupération, en empruntant le même chemin que l’attaquant. Il assure que les fonds ainsi déplacés sont en sécurité (« Funds recovered through this process are safe »), a publié le 8 novembre la liste des adresses de récupération pour que chacun distingue ces transferts de ceux de l’attaquant, et indiquait le 11 novembre que les opérations se poursuivaient, en annonçant des informations sur un processus de restitution « in the coming days ». L’application concernée précise, de son côté, que les comptes créés avec une phrase de récupération ou un portefeuille matériel ne sont pas touchés, qu’un compte ouvert avec Google ou Apple peut afficher un solde réduit ou nul du fait de ces mesures, et qu’il ne faut plus y envoyer de fonds. À la date de rédaction, nous n’avons trouvé ni annonce de reprise complète du service, ni calendrier précis de restitution.

Que valent juridiquement ces transferts de sauvegarde ? Ils n’ont pas été ordonnés par les titulaires, et le fournisseur affirme agir pour les protéger. Si le droit français s’appliquait, ce qui dépendra des contrats en cause et de la loi qu’ils désignent, la situation pourrait être rapprochée de la gestion d’affaires. Selon l’article 1301 du code civil, « Celui qui, sans y être tenu, gère sciemment et utilement l’affaire d’autrui, à l’insu ou sans opposition du maître de cette affaire, est soumis, dans l’accomplissement des actes juridiques et matériels de sa gestion, à toutes les obligations d’un mandataire ». L’article 1301-1 précise : « Il est tenu d’apporter à la gestion de l’affaire tous les soins d’une personne raisonnable », la gestion devant se poursuivre jusqu’à ce que le titulaire puisse y pourvoir. L’article 1993 impose ensuite au mandataire de « rendre compte de sa gestion, et de faire raison au mandant de tout ce qu’il a reçu en vertu de sa procuration ». En contrepartie, selon l’article 1301-2, le titulaire « rembourse au gérant les dépenses faites dans son intérêt », ce qui pourrait couvrir des frais de transaction. Cette qualification reste discutable, à notre lecture : elle suppose notamment que le gérant n’ait pas déjà été tenu d’agir, par exemple en vertu de son contrat avec l’application. L’idée centrale paraît toutefois solide : des fonds mis à l’abri ne deviendraient pas la propriété de celui qui les a déplacés, et leur titulaire pourrait en exiger le compte et la restitution.

Et si l’éditeur lui-même faisait faillite ? Les cryptos d’un portefeuille créé avec une phrase de récupération ne feraient pas partie de son patrimoine, puisqu’elles ne sont pas chez lui. Le client d’une plateforme qui garde ses avoirs dépend au contraire de la procédure ouverte contre elle, avec une question décisive, celle de savoir s’il est propriétaire ou simple créancier, que nous détaillons dans notre article sur l’earn, le staking et la conservation en cas de faillite d’une plateforme. Ici, les risques porteraient sur les services : restauration par connexion Google ou Apple, validateurs, coffres du compte rémunéré, carte. Les sommes que l’éditeur pourrait vous devoir, par exemple au titre de récompenses détournées ou manquées, deviendraient des créances dans une procédure ouverte selon le droit de son siège, aux États-Unis, dont l’issue serait incertaine pour un créancier sans garantie. D’où trois précautions : garder la phrase secrète hors ligne, limiter le plafond de la carte et ne pas dépendre d’un seul canal d’accès. Nous avons appliqué la même grille à un autre portefeuille sans dépôt, qui n’est plus détenu par son ancien groupe depuis 2025, et au conservateur matériel après le piratage d’une grande plateforme.

II. Fiable ou pas face au droit français ? Les clauses de l’éditeur, puis les recours concrets

A. Droit irlandais, arbitrage à Dublin, plafond de 25 000 dollars et renonciation aux actions collectives : ce que le droit français permet d’écarter

Les conditions d’utilisation lues le 12 novembre 2026 contiennent plusieurs clauses qui pèseraient lourd en cas de litige. Pour un utilisateur situé hors des États-Unis et du Royaume-Uni, elles désignent, à défaut d’un autre choix de sa part, « the law of Ireland ». Elles imposent, après une médiation de quatorze jours selon le règlement de la London Court of International Arbitration, un arbitrage conduit selon le règlement de cette institution, en anglais, avec un siège à Dublin. Elles prévoient une renonciation aux actions collectives et une faculté de refuser l’arbitrage, par un écrit portant l’objet « LEGAL OPT OUT », envoyé « within 30 days of your first use ». Elles plafonnent la responsabilité de l’éditeur aux sommes payées au cours des douze mois précédents ou, si vous n’avez rien payé, à 25 000 dollars, et excluent les dommages indirects. L’utilisateur y est déclaré seul responsable de la sécurité de ses sauvegardes, l’éditeur excluant toute responsabilité en cas de vol d’une phrase secrète par intrusion dans un appareil ou un service de stockage en ligne. Le même texte réserve toutefois les droits légaux des consommateurs de l’Union européenne, en précisant qu’en cas de conflit « those laws will prevail ».

Encore faut-il être consommateur. L’article liminaire du code de la consommation le définit comme « toute personne physique qui agit à des fins qui n’entrent pas dans le cadre de son activité commerciale, industrielle, artisanale, libérale ou agricole ». L’épargnant qui conserve ses cryptos pour lui-même relève a priori de cette définition ; un utilisateur qui exerce une activité professionnelle de négoce ou d’intégration de portefeuilles pourrait en être exclu, ce qu’un juge apprécierait au cas par cas. Le choix du droit irlandais ne règle pas tout pour autant : selon l’article 6 du règlement européen dit Rome I, il ne peut priver le consommateur de la protection des règles impératives de son pays de résidence lorsque le professionnel dirige son activité vers ce pays, ce que pourrait suggérer une interface et des pages d’aide proposées en français.

Pour l’arbitrage, deux règles se combinent. L’article 2061 du code civil dispose : « Lorsque l’une des parties n’a pas contracté dans le cadre de son activité professionnelle, la clause ne peut lui être opposée. » Et l’article R. 212-2 du code de la consommation présume abusives, sauf preuve contraire du professionnel, les clauses ayant pour objet ou pour effet de « Supprimer ou entraver l’exercice d’actions en justice ou des voies de recours par le consommateur, notamment en obligeant le consommateur à saisir exclusivement une juridiction d’arbitrage non couverte par des dispositions légales ». La Cour de cassation, le 30 septembre 2020 (n° 18-19.241, publié au Bulletin), a approuvé une cour d’appel d’avoir écarté une clause compromissoire jugée abusive, en rappelant que la priorité donnée à l’arbitre « ne peut avoir pour effet de rendre impossible, ou excessivement difficile, l’exercice des droits conférés au consommateur ». Le même arrêt rappelle que le consommateur peut agir, « quel que soit le domicile de l’autre partie, devant la juridiction du lieu où le consommateur est domicilié ». À notre lecture, une clause imposant à un épargnant résidant en France une médiation puis un arbitrage en anglais, avec un siège à Dublin, serait susceptible d’être écartée sur ces fondements.

Sur la compétence, la Cour de cassation, le 25 mars 2026 (n° 24-21.790, publié au Bulletin et au Rapport), a jugé qu’un consommateur « ne peut être privé par une clause attributive désignant une juridiction étrangère du droit de saisir les juridictions françaises s’il est domicilié en France ». La comparaison avec un autre groupe établi en Irlande est instructive. La cour d’appel de Paris, le 25 janvier 2023 (n° 22/15759), a jugé conforme au droit européen la clause d’un réseau social parce qu’elle réservait elle-même au consommateur résidant dans l’Union le choix de saisir les tribunaux de son pays, ce qui a permis à une utilisatrice d’agir à Paris. Les conditions examinées ici ne contiennent pas, à notre lecture, une telle réserve de juridiction : elles se bornent à préserver, de façon générale, les droits légaux des consommateurs.

Le plafond de 25 000 dollars et l’exclusion des dommages indirects appellent la même vigilance. L’article R. 212-1 du code de la consommation répute abusives, de manière irréfragable, les clauses ayant pour objet ou pour effet de « Supprimer ou réduire le droit à réparation du préjudice subi par le consommateur en cas de manquement par le professionnel à l’une quelconque de ses obligations ». L’article L. 241-1 du même code en tire la sanction : « Les clauses abusives sont réputées non écrites. » La Cour de cassation, le 8 novembre 2023 (n° 21-22.655, publié au Bulletin), a ainsi approuvé une cour d’appel d’avoir jugé abusives des clauses fixant des plafonds d’indemnisation inférieurs aux plafonds réglementaires, en retenant que « les clauses qui n’accordent pas un niveau d’indemnisation conforme ou supérieur aux dispositions supplétives sont abusives ». Le contexte était celui du transport de colis, mais le raisonnement paraît transposable à toute clause qui réduit la réparation due à un consommateur, à notre lecture. Pour un utilisateur qui ne serait pas consommateur, l’article 1170 du code civil répute non écrite « Toute clause qui prive de sa substance l’obligation essentielle du débiteur », et l’article 1171 vise, dans un contrat d’adhésion, la clause non négociable qui « crée un déséquilibre significatif entre les droits et obligations des parties au contrat ».

La renonciation aux actions collectives relève, à notre lecture, de la même grille : en ce qu’elle entrave l’exercice d’actions en justice, elle serait susceptible d’être présumée abusive au titre de l’article R. 212-2 déjà cité. Elle n’empêche pas, en tout état de cause, les épargnants de se regrouper pour partager les preuves et les frais, comme nous l’expliquons dans notre article sur les actions collectives des épargnants face à une plateforme défaillante. Quant aux délais, l’article L. 218-1 du code de la consommation prévoit que le professionnel et le consommateur « ne peuvent, même d’un commun accord, ni modifier la durée de la prescription », et l’article 2224 du code civil fixe le droit commun : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. »

Deux précautions pratiques en découlent. Un nouvel utilisateur peut exercer, dans le délai de trente jours, la faculté de refus de l’arbitrage prévue par les conditions : cette démarche ne retire rien aux protections légales, mais elle documente son refus, l’éditeur précisant qu’il ne sera alors pas davantage lié par la clause. Et une décision française devrait encore être exécutée contre une société américaine, ce qui suppose en pratique une procédure dans le pays où se trouvent ses biens : la voie judiciaire reste ouverte, mais son coût et sa durée doivent être mesurés avant d’agir, au regard des sommes en jeu.

B. Ce qu’il faut faire maintenant : sécuriser, prouver, porter plainte et viser la bonne société

Le premier réflexe dépend de votre mode d’accès. Pour un portefeuille créé avec une phrase de récupération, l’éditeur indique qu’aucune action n’est requise ; il rappelle surtout qu’il ne demandera jamais votre phrase secrète ni vos clés privées. Toute page qui vous invite à vous connecter à votre portefeuille en saisissant cette phrase doit donc être tenue pour suspecte, même si elle reprend le logo de l’application ou apparaît en tête d’une recherche. Pour un accès par Google, Apple ou Telegram, protégez d’abord ce compte, avec une double authentification et un mot de passe unique, puis affichez la phrase secrète et conservez-la hors ligne. Pour un portefeuille intégré créé avec Google ou Apple dans l’application touchée en novembre, suivez les consignes publiées par celle-ci et par son fournisseur : ne plus envoyer de fonds sur ce compte, transférer les actifs disponibles vers un portefeuille protégé par une phrase ou vers un portefeuille matériel, comparer toute adresse de destination inconnue à la liste officielle des adresses de récupération, et ignorer les messages privés qui proposent une « récupération ». Notre article sur les faux liquidateurs et faux récupérateurs de fonds détaille les signaux d’alerte.

Le deuxième réflexe est probatoire. Exportez l’historique des transactions de chaque adresse depuis un explorateur de blocs, faites des captures d’écran datées des soldes et des messages affichés, conservez la version des conditions d’utilisation en vigueur, vos échanges avec le support et, pour le staking, l’identifiant des validateurs ainsi que les dates de vos demandes de retrait. Pour la carte, gardez les relevés et les notifications de paiement. Un constat de commissaire de justice peut figer une page susceptible de disparaître, et un tableau chronologique simple facilitera le travail de l’enquêteur comme celui du juge.

Le troisième réflexe est pénal si des fonds ont disparu. Selon l’article 15-3 du code de procédure pénale, « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale ». Plusieurs qualifications pourraient être examinées par le parquet. L’article 323-1 du code pénal réprime « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données ». L’article 323-3 punit le fait « de supprimer ou de modifier frauduleusement les données qu’il contient », ce qui pourrait correspondre, à notre lecture, au changement d’adresses de réception décrit par l’éditeur. En cas de fausse page de connexion, l’escroquerie de l’article 313-1 suppose l’emploi de « manoeuvres frauduleuses » ayant déterminé la victime « à remettre des fonds, des valeurs ou un bien quelconque ». Si la plainte reste sans suite, l’article 85 du code de procédure pénale permet de se constituer partie civile devant le juge d’instruction, notamment lorsqu’« un délai de trois mois s’est écoulé depuis qu’elle a déposé plainte devant ce magistrat ». Notre article sur la plainte après la défaillance d’une plateforme précise les étapes.

Le quatrième réflexe est civil : identifier, avant tout procès, qui détient l’information utile. L’article 145 du code de procédure civile permet d’ordonner des mesures d’instruction « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige ». Les juges l’appliquent aux portefeuilles numériques, à condition de viser la bonne société. Le tribunal judiciaire de Paris, en référé, le 5 novembre 2025 (n° 25/55721), a ordonné à la filiale française d’une plateforme de communiquer l’historique de deux portefeuilles qu’elle administrait, à une société qui se disait victime de factures frauduleuses d’un ancien salarié, la mesure étant « limitée dans le temps et dans son objet ». À l’inverse, la cour d’appel de Lyon, le 25 mars 2026 (n° 25/04129), a infirmé une ordonnance de 2025 qui avait enjoint à une autre filiale française d’identifier les titulaires de deux portefeuilles et de suspendre leurs accès. Faute d’établir que cette filiale, juridiquement distincte de la société étrangère du groupe, détenait ces portefeuilles ou pouvait accéder aux données des clients des autres entités, le demandeur « ne justifie pas d’un motif légitime à solliciter les informations requises ». La leçon vaut ici : les conditions désignent comme cocontractant la société américaine qui exploite l’application, en précisant qu’elle est juridiquement distincte d’une autre société au nom voisin ; c’est elle, ou l’entité qui exploite réellement le service de connexion en cause, qu’il faudrait viser.

Pour la carte, le droit des paiements offre une voie plus directe. En cas d’opération de paiement non autorisée, l’article L. 133-18 du code monétaire et financier impose au prestataire de rembourser le payeur immédiatement, « et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf soupçon de fraude de l’utilisateur communiqué par écrit à la Banque de France. L’article L. 133-24 exige de signaler l’opération sans tarder, et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Ces règles transposent le droit européen des services de paiement ; un émetteur établi dans un autre pays de l’Union serait tenu par des règles équivalentes, à notre lecture. Elles ne couvrent pas, en revanche, un paiement que vous avez vous-même autorisé sous l’effet d’une manœuvre.

Enfin, lorsque l’auteur reste introuvable, la commission d’indemnisation des victimes d’infractions peut intervenir à titre subsidiaire. L’article 706-14 du code de procédure pénale vise notamment la victime d’un vol, d’une escroquerie ou « d’une atteinte aux systèmes de traitement automatisé de données » qui ne peut obtenir de réparation effective et suffisante et se trouve dans une situation matérielle ou psychologique grave, sous condition de ressources et dans la limite d’un plafond. Mais la Cour de cassation, le 5 novembre 2026 (n° 25-12.778, publié au Bulletin), a approuvé une cour d’appel qui avait refusé toute indemnité à la victime d’un message frauduleux imitant un organisme public, la faute de celle-ci ayant été souverainement estimée comme excluant « tout droit à indemnisation ». Saisir sa phrase secrète sur une page imitant un portefeuille exposerait, à notre lecture, au même raisonnement. Pour l’ensemble de ces démarches, notre page consacrée à l’avocat en crypto-actifs à Paris présente les situations que nous traitons.

Conclusion

Ce portefeuille est-il fiable en cas de faillite ? Tout dépend de la façon dont vous l’utilisez. Créé avec une phrase de récupération conservée hors ligne, il ne confie vos cryptos à personne : une défaillance de l’éditeur vous priverait de services, pas de vos actifs. Avec la connexion Google, Apple ou Telegram, vous dépendez en plus de serveurs qui détiennent des fragments de clé et la sauvegarde chiffrée de votre phrase ; afficher puis conserver cette phrase hors ligne supprime l’essentiel de cette dépendance. Le staking, le compte rémunéré et la carte ajoutent chacun un intermédiaire, qu’il s’agisse de validateurs, de coffres de finance décentralisée ou d’un émetteur de cartes, avec leurs propres risques, et aucun fonds de garantie ne couvre la valeur des crypto-actifs.

Les incidents de l’automne 2026 l’illustrent sans qu’il faille dramatiser. Selon l’éditeur, l’accès non autorisé identifié le 28 septembre a permis de détourner environ 0,385 ETH de récompenses, sans atteinte établie au capital placé ni aux portefeuilles, et les validateurs concernés ont été retirés par précaution. Selon son fournisseur de connexion, la faille de novembre a touché des portefeuilles intégrés d’une autre application, dont une partie des fonds a été mise à l’abri, avec une restitution annoncée mais pas encore organisée à la date de rédaction. Pour les fonds ainsi déplacés, le droit français, s’il s’appliquait, fournirait des outils : celui qui gère l’affaire d’autrui doit en rendre compte et restituer ce qu’il a reçu.

Face à un litige, les clauses qui désignent le droit irlandais, imposent un arbitrage en anglais à Dublin, plafonnent la responsabilité à 25 000 dollars et écartent les actions collectives ne sont pas le dernier mot pour un consommateur qui réside en France. Le code civil rend la clause compromissoire inopposable à celui qui n’a pas contracté à titre professionnel, le code de la consommation présume abusive l’obligation de recourir à l’arbitrage et répute non écrite la réduction du droit à réparation, et la Cour de cassation a jugé qu’un consommateur domicilié en France ne peut être privé de ses juges par une clause désignant une juridiction étrangère.

Si vous êtes touché, l’ordre des gestes compte : sécuriser ce qui reste, conserver toutes les preuves, porter plainte, puis viser la bonne société, celle qui détient réellement vos données ou vos fonds, comme l’a rappelé la cour d’appel de Lyon en 2026. Méfiez-vous enfin de toute offre de récupération qui ne passe pas par les canaux officiels de l’éditeur ou de l’application concernée.

Trois réserves pour finir. À la date de rédaction, le 12 novembre 2026, aucune source officielle ne constate de perte de fonds dans les portefeuilles de l’application, nous n’avons trouvé aucune décision de justice ni aucune mesure d’une autorité française visant l’éditeur ou son fournisseur de connexion, et aucune responsabilité n’est établie. Les conditions d’utilisation que vous avez acceptées priment sur cette analyse générale, sous réserve des règles impératives du droit français. Et seul le juge peut trancher un litige, au vu des pièces de votre dossier.