Jeudi 29 octobre 2026, vers 21 h 05 (heure de Paris), des portefeuilles chauds de Binance, reliés à Internet pour traiter les retraits, ont été compromis. Dans une mise à jour publiée le 30 octobre et signée par ses deux codirigeants, la plateforme indique avoir perdu, à la suite de retraits non autorisés, des actifs d’une valeur d’environ 6,3 milliards de dollars, soit quelque 5,6 milliards d’euros, et s’engage à en supporter seule l’impact financier, à la place de ses utilisateurs. Elle dit avoir réservé plus de 6,34 milliards de dollars de fonds propres, dont 5 milliards déjà détenus dans les actifs dérobés, et environ 3 milliards de dollars ont été gelés sur les blockchains. Les retraits sont suspendus le temps des vérifications de sécurité ; leur reprise progressive était visée dans un délai d’environ trente-quatre heures, sous réserve de ces contrôles, et une preuve de réserves est annoncée pour le lundi 2 novembre.
À la date de rédaction, le 31 octobre 2026, la plateforme a reconnu le piratage et promis publiquement de couvrir toutes les pertes. Aucune autorité n’a établi de responsabilité et l’enquête sur l’origine de l’attaque se poursuit. Les contrats que vous avez acceptés priment sur toute analyse générale, et seul un juge peut trancher un litige.
Cet article s’adresse au client résidant en France qui détient encore des crypto-actifs sur la plateforme, alors qu’elle ne peut plus y servir de clients depuis le 1er juillet 2026. Il explique qui conserve juridiquement ces actifs et ce que vaut la promesse de couvrir les pertes (I), puis ce qu’il est utile de faire pendant la suspension des retraits et les recours ouverts depuis la France si cette promesse n’était pas tenue (II).
I. Après le piratage, vos crypto-actifs sont-ils protégés, et par qui ?
A. Ce que la plateforme a reconnu et promis, et pourquoi aucune garantie publique ne vous couvre
Les informations ont été livrées en plusieurs temps. Jeudi soir, vers 22 h 16, heure de Paris, la plateforme a d’abord indiqué sur son compte officiel enquêter sur des signalements d’un possible problème de sécurité, puis assuré que les fonds des utilisateurs étaient en sécurité et suspendu les retraits par précaution. Dans la nuit, elle a reconnu une « attaque complexe » ayant causé « plusieurs brèches » dans sa sécurité, estimé le montant touché à environ 6,3 milliards de dollars, annoncé qu’elle couvrirait toutes les pertes et indiqué que les dépôts et les retraits étaient temporairement suspendus (Le Monde, 30 octobre 2026). Sa mise à jour du 30 octobre précise que l’enquête initiale orientait vers un ordinateur portable compromis avant de révéler d’autres points d’intrusion, qu’aucune preuve d’une fuite des clés privées des portefeuilles n’a été trouvée à ce stade, et que les dépôts et les autres services non touchés fonctionnent de nouveau, les retraits restant suspendus. Elle annonce un rapport technique détaillé sur le déroulement de l’attaque.
Dans une vidéo rapportée par l’Agence France-Presse, l’un des codirigeants a assuré que la plateforme n’utilise jamais les fonds de ses clients et que l’attaque avait visé un portefeuille connecté à Internet lui appartenant ; il disait espérer une reprise des retraits avant dimanche, une fois passés des tests rigoureux. Les sociétés d’analyse TRM Labs et Chainalysis imputent l’attaque à un groupe de pirates lié à la Corée du Nord, sans qu’aucune source officielle ne le confirme (Le Parisien, 30 octobre 2026). Selon l’AFP, le FBI s’est dit informé de l’incident et les autorités américaines examinent la piste nord-coréenne.
Plusieurs éléments jouent en faveur de la plateforme et doivent être rappelés. Elle a reconnu l’incident, s’est engagée par écrit à couvrir l’ensemble des fonds dérobés au moyen de son fonds d’urgence, dit SAFU, et de sa trésorerie, et indique en avoir déjà couvert environ 80 % ; elle rachète le solde des actifs sur le marché et de gré à gré. Elle coopère avec les forces de l’ordre, les émetteurs de jetons et des sociétés d’analyse pour tracer, geler et récupérer les fonds, et elle s’est engagée à publier une preuve de réserves permettant à chacun de vérifier son solde.
Aucune garantie publique ne prendrait le relais si cet engagement n’était pas tenu. Le fonds de garantie des dépôts et de résolution gère, selon l’article L. 312-4 du code monétaire et financier, la garantie des dépôts et les mécanismes de garantie des investisseurs. Celui des titres, prévu par l’article L. 322-1 du même code, indemnise les investisseurs « en cas d’indisponibilité de leurs instruments financiers » et des espèces liées à un service d’investissement, et seuls les prestataires agréés en France qu’il énumère y adhèrent. Les crypto-actifs les plus courants, comme le bitcoin, l’ether ou les stablecoins, ne sont ni des dépôts bancaires ni des instruments financiers, et la plateforme n’est pas un établissement adhérent. La restitution de vos avoirs repose donc sur l’engagement de la plateforme, sur sa solidité financière et sur les règles de droit applicables.
Que vaut, juridiquement, cette promesse ? Elle ne figure pas dans les conditions d’utilisation, qui ne mentionnent pas le fonds SAFU, mais elle émane de la société elle-même, par la voix de ses deux codirigeants. En droit français, l’article 1100-1 du code civil rappelle que « Les actes juridiques sont des manifestations de volonté destinées à produire des effets de droit. Ils peuvent être conventionnels ou unilatéraux. » Un engagement public, précis et chiffré, adressé à l’ensemble des clients, pourrait ainsi, à notre lecture, être invoqué devant un juge comme un acte unilatéral liant la plateforme, si le droit français était applicable au litige ; il s’ajouterait à l’obligation de restitution qui pèse de toute façon sur le dépositaire. Cette qualification n’a pas été tranchée pour ce type de déclaration, et la plateforme se réserve, au pied de ses annonces, le droit de les modifier ou de les retirer.
La situation des clients français est particulière depuis l’été. La liste des prestataires radiés publiée par l’AMF indique que BINANCE France SAS, enregistrée comme prestataire de services sur actifs numériques le 4 mai 2022 sous le numéro E2022-037, a été radiée le 2 juillet 2026, au titre de la fin de la période transitoire du règlement européen MiCA. Sa filiale française avait annoncé en juin qu’elle ne proposerait plus de services sur crypto-actifs en France à compter du 1er juillet 2026, tout en assurant que les avoirs des clients « resteront disponibles au retrait » (Le Parisien, 24 juin 2026). Le registre intermédiaire de l’Autorité européenne des marchés financiers, téléchargé le 29 octobre 2026, ne mentionne aucune société du groupe parmi les prestataires autorisés. Or, depuis le 1er juillet 2026, l’article L. 54-10-4 du code monétaire et financier dispose que l’exercice de cette profession « est interdit à toute personne n’ayant pas été autorisée à fournir des services sur crypto-actifs » conformément au règlement, la méconnaissance de cette interdiction étant punie de deux ans d’emprisonnement et de 30 000 euros d’amende par l’article L. 572-23.
Concrètement, un client résidant en France ne peut plus, depuis cette date, que retirer ses actifs ou réduire ses positions ; avec la suspension des retraits, cette dernière porte de sortie est elle aussi fermée, pour l’instant. Ceux qui ont laissé des crypto-actifs sur leur compte sont donc directement concernés, sans bénéficier des protections que le règlement MiCA réserve aux clients des prestataires autorisés. Nous avions détaillé ces conséquences dans notre article sur Binance et les plateformes crypto sans agrément MiCA, ainsi que dans celui consacré aux positions sur marge et prêts liquidés d’office le 1er octobre 2026.
B. Qui conserve juridiquement vos crypto-actifs, et qui supporterait une perte si la promesse n’était pas tenue ?
La réponse se lit d’abord dans le contrat. Les conditions d’utilisation mondiales de la plateforme, en vigueur depuis le 27 octobre 2026, désignent trois sociétés établies dans le centre financier Abu Dhabi Global Market, à Abou Dhabi, et régulées par l’autorité financière de ce centre. L’une d’elles, Nest Clearing and Custody Limited, est désignée comme dépositaire : en ouvrant un compte, le client la charge de conserver l’ensemble de ses crypto-actifs, titres et devises (clause 8.1.1). La clause 8.4.1 précise que le client dispose d’un droit individuel, sous la forme d’un intérêt bénéficiaire, sur la quantité de crypto-actifs que ce dépositaire détient pour lui en fiducie (trust), telle qu’elle est inscrite dans son compte. Elle ajoute que ces actifs sont fongibles : vos droits ne portent pas sur des unités déterminées, mais sur une quantité de même type et de même qualité, détenue sur des adresses communes à de nombreux clients. Les mêmes conditions réservent l’application de conditions locales. Si vous avez ouvert votre compte par l’intermédiaire de la filiale française, votre cocontractant et votre dépositaire peuvent être différents : seuls vos propres documents contractuels, conservés dans votre espace client, permettent de le savoir.
Cette structure a une conséquence directe. La plateforme affirme que les actifs dérobés provenaient de ses propres portefeuilles et que les fonds des clients ne sont pas touchés. Ses conditions d’utilisation prévoient toutefois que les actifs des clients peuvent être détenus sur des adresses communes : quelle que soit l’adresse visée, le dépositaire doit pouvoir restituer à chacun la quantité inscrite à son compte, et c’est précisément ce que la plateforme annonce garantir avec ses fonds propres. La question juridique ne se poserait que si elle ne le faisait pas, ou pas entièrement. Le droit de ce centre financier, choisi par les conditions d’utilisation, n’est pas analysé ici ; mais si le droit français s’appliquait, au moins pour ses règles protectrices du consommateur, le raisonnement partirait du dépôt.
Selon l’article 1915 du code civil, « Le dépôt, en général, est un acte par lequel on reçoit la chose d’autrui, à la charge de la garder et de la restituer en nature. » L’article 1927 ajoute que « Le dépositaire doit apporter, dans la garde de la chose déposée, les mêmes soins qu’il apporte dans la garde des choses qui lui appartiennent. » Un arrêt récent précise la charge de la preuve en cas de vol. Un garage dont un client réclamait l’indemnisation après un cambriolage avait été mis hors de cause au motif que ce cambriolage constituait un cas de force majeure. La chambre commerciale a censuré cette décision en rappelant que, « si le dépositaire n’est tenu que d’une obligation de moyens, il lui incombe, en cas de perte ou détérioration de la chose déposée, de prouver qu’il y est étranger, en établissant qu’il a donné à cette chose les mêmes soins que ceux qu’il aurait apportés à la garde de celles qui lui appartiennent, ou en démontrant que la perte ou détérioration est due à la force majeure ». Les juges du fond devaient rechercher si le garagiste avait pris des mesures pour prévenir le cambriolage (Cass. com., 18 février 2026, n° 24-17.226).
Cet arrêt porte sur un véhicule, pas sur des crypto-actifs, et il n’a pas été publié au Bulletin. Sa logique est pourtant transposable, à notre lecture : un vol subi par le dépositaire n’est pas en soi un cas de force majeure, et c’est à lui de démontrer les précautions qu’il avait prises. Appliquée au piratage des portefeuilles d’une plateforme, cette règle mettrait à la charge du conservateur la preuve de la sécurité de son dispositif de signature et de garde. Les recherches menées pour cet article n’ont identifié aucun arrêt de la Cour de cassation sur la responsabilité d’un conservateur de crypto-actifs victime d’un vol.
Le règlement européen MiCA donne une indication convergente. Son article 75 impose aux prestataires autorisés qui conservent des crypto-actifs pour leurs clients une politique de conservation qui réduise au minimum le risque de perte à la suite d’une fraude, de cybermenaces ou d’une négligence. Il les rend responsables envers leurs clients de la perte de crypto-actifs « résultant d’un incident qui leur est imputable », dans la limite de la valeur de marché des actifs perdus au moment de la perte. Ils ne s’exonèrent qu’en démontrant que l’événement s’est produit indépendamment du service fourni ou de leurs activités, par exemple un problème inhérent au fonctionnement d’une blockchain qu’ils ne contrôlent pas. Le même article organise la séparation juridique des actifs conservés, sur lesquels les créanciers du prestataire ne peuvent faire valoir aucun droit, en particulier en cas d’insolvabilité. Ces règles ne s’appliquent pas, en tant que telles, à une société qui n’est pas autorisée dans l’Union ; elles montrent néanmoins quel est le standard européen : la soustraction de crypto-actifs dans les portefeuilles mêmes du prestataire relève en principe de sa responsabilité.
Les conditions d’utilisation vont dans un autre sens. Leur clause 35.2 écarte toute responsabilité de la plateforme pour les pertes directes ou indirectes liées à une longue liste d’événements, parmi lesquels les attaques informatiques, les défaillances de sécurité et l’impossibilité de retirer des actifs pendant une suspension ; la clause 35.3 vise encore les logiciels malveillants, l’hameçonnage et les autres attaques. En droit français de la consommation, une telle clause serait exposée à une sanction sévère. L’article R. 212-1 du code de la consommation range parmi les clauses présumées abusives de manière irréfragable, et dès lors interdites, celles qui ont pour objet ou pour effet de « Supprimer ou réduire le droit à réparation du préjudice subi par le consommateur en cas de manquement par le professionnel à l’une quelconque de ses obligations ». Plus largement, l’article L. 212-1 qualifie d’abusives les clauses qui créent, au détriment du consommateur, un déséquilibre significatif entre les droits et obligations des parties.
Encore faut-il que ces règles s’appliquent malgré le choix du droit d’Abou Dhabi. Le règlement européen Rome I sur la loi applicable aux obligations contractuelles prévoit que ce choix ne peut priver le consommateur de la protection des dispositions impératives du pays de sa résidence habituelle, lorsque le professionnel y exerce son activité ou dirige son activité vers ce pays. La plateforme a servi la clientèle française, de 2022 à 2026, par une filiale enregistrée auprès de l’AMF ; un client résidant en France pourrait donc soutenir que cette condition est remplie, mais la question dépendra des circonstances de l’ouverture de son compte et sera tranchée par le juge saisi.
Une décision de première instance illustre la frontière entre la faille du client et celle de la plateforme. Une société cliente d’une plateforme française avait vu ses crypto-actifs retirés par un tiers qui avait piraté la messagerie de son dirigeant ; elle n’avait pas activé la double authentification qui lui avait été proposée. Le tribunal a relevé qu’« aucune preuve n’établit que les systèmes de la plateforme COINHOUSE aient subi une intrusion » et rejeté ses demandes, en jugeant que les clauses litigieuses laissaient intacte la responsabilité de la plateforme à l’égard de ses propres systèmes informatiques (TAE Paris, 12 novembre 2025, n° 2024031578). Ce jugement, rendu entre professionnels et susceptible de recours, ne tranche pas le cas d’une intrusion dans les portefeuilles de la plateforme elle-même. Il montre cependant que la sécurité des systèmes du conservateur est au cœur de ses obligations ; or, selon la plateforme elle-même, l’attaque du 29 octobre a visé ses propres portefeuilles : les clients n’ont, en principe, rien à se reprocher.
Reste la question du montant. Les juridictions françaises raisonnent en euros. Dans un litige qui opposait un client à une autre plateforme après des transferts réalisés par un pirate, la cour d’appel de Grenoble a refusé de condamner la plateforme à restituer des unités d’ether, « s’agissant d’une demande formulée en une monnaie n’ayant pas cours légal », et elle a jugé que la plus-value espérée ne caractérisait pas une perte de chance certaine ; elle a alloué une indemnité en euros (CA Grenoble, 26 juin 2025, n° 24/02105). La responsabilité de cette plateforme avait été retenue parce qu’elle exerçait sans l’enregistrement alors exigé, et non pour une faille de ses systèmes ; l’arrêt, rendu par défaut, ne vaut que pour ses faits. Il invite à conserver dès maintenant la preuve de vos avoirs, en quantité et en valeur, à la date du 29 octobre, avant les premiers transferts frauduleux.
II. Pendant la suspension des retraits, que faire depuis la France, et quels recours si la promesse n’était pas tenue ?
A. Dans les jours qui viennent : vérifier, documenter, retirer avec prudence et déjouer les escrocs
Le premier risque n’est pas juridique. Chaque incident de ce type est suivi d’une vague d’escroqueries : faux messages du service client, fausses offres d’indemnisation, sociétés de récupération de fonds ou prétendus avocats qui promettent de récupérer vos crypto-actifs contre une avance de frais. La mise à jour du 30 octobre ne demande aux clients aucune démarche pour être indemnisés et invite à ne suivre que les canaux officiels : tout message qui réclame vos identifiants, une avance de frais ou un transfert pour débloquer un remboursement doit être tenu pour suspect. Ne communiquez jamais votre phrase de récupération ni vos codes de double authentification, et n’installez aucun logiciel de prise de contrôle à distance. Les mécanismes de ces fraudes sont décrits dans notre article sur les faux liquidateurs et faux avocats qui ciblent les épargnants.
Le deuxième réflexe est de constituer votre preuve. Téléchargez l’historique complet de vos opérations et de vos soldes, puis réalisez des captures d’écran datées montrant, pour chaque crypto-actif, la quantité détenue. Conservez la version des conditions d’utilisation que vous avez acceptée, ainsi que celle du 27 octobre 2026, avec les courriels et notifications reçus depuis juin. Si un retrait échoue, notez l’heure, le message d’erreur et le numéro de la demande adressée au service client. Lorsque la preuve de réserves sera publiée, vérifiez que votre solde y figure et conservez la trace de cette vérification. Le droit d’accès prévu par le règlement général sur la protection des données peut aussi servir à obtenir les données personnelles rattachées à votre compte.
Le troisième point concerne les retraits. Leur reprise doit se faire par étapes, après des contrôles de sécurité ; la plateforme n’a pas publié de calendrier détaillé par actif, et elle doit encore racheter une partie des jetons dérobés, dont certains sont peu liquides selon la presse spécialisée. Une suspension de courte durée, décidée pour sécuriser les systèmes pendant l’enquête, peut se comprendre ; ce sont sa durée et l’absence d’information qui pourraient, le cas échéant, justifier une réclamation puis les recours décrits plus bas. Depuis le 1er juillet 2026, les clients résidant en France ne peuvent plus que retirer leurs actifs ou réduire leurs positions. Le choix de retirer vous appartient et dépend de votre situation ; si vous retirez à la réouverture, commencez par un petit montant, vérifiez l’adresse et le réseau de destination, et privilégiez un portefeuille dont vous détenez les clés ou un prestataire autorisé figurant sur les listes blanches de l’AMF. Une opération enregistrée sur une blockchain ne peut pas être annulée : une erreur d’adresse commise dans la précipitation est souvent définitive.
Enfin, les gels annoncés par les émetteurs de stablecoins visent, selon leurs messages et les analyses publiées, les adresses qui ont reçu les fonds dérobés, et non les comptes des clients. Si vous détenez de l’USDT ou de l’USDC sur la plateforme, ces mesures ne devraient pas, à notre lecture, affecter votre solde ; elles pourraient au contraire, si les autorités et les émetteurs le permettent, contribuer à la récupération d’une partie des fonds, dont la charge pèse d’abord sur la plateforme selon son propre engagement.
B. Si la promesse n’était pas tenue ou si le blocage durait : réclamation, juge français, référé ou procédure collective
Les conditions d’utilisation organisent un parcours en plusieurs étapes. Une réclamation doit d’abord être adressée au service client. Si elle n’est pas résolue dans un délai de quatre-vingts jours calendaires, la clause 36 impose l’envoi d’une notification de réclamation décrivant la nature du litige, la demande, le numéro de ticket, le numéro de compte et l’adresse électronique, puis quatre-vingt-dix jours de négociation confidentielle. Ensuite seulement, la clause 37 prévoit un arbitrage obligatoire administré par la Chambre de commerce internationale, devant trois arbitres, avec un siège à Abou Dhabi et une procédure en anglais, et la clause 38 soumet le contrat au droit de ce centre financier. Pour un épargnant qui aurait perdu quelques milliers d’euros, un tel parcours serait long et coûteux.
Le droit français offre au consommateur des moyens de l’écarter. L’article R. 212-2 du code de la consommation présume abusives, sauf preuve contraire du professionnel, les clauses qui suppriment ou entravent l’exercice d’actions en justice, « notamment en obligeant le consommateur à saisir exclusivement une juridiction d’arbitrage non couverte par des dispositions légales ». En droit interne, l’article 2061 du code civil dispose encore : « Lorsque l’une des parties n’a pas contracté dans le cadre de son activité professionnelle, la clause ne peut lui être opposée. » Dans un litige international, la Cour de cassation admet que le juge étatique écarte lui-même une clause compromissoire abusive stipulée dans un contrat de consommation, sans renvoyer d’abord l’affaire aux arbitres. Elle juge que la règle de priorité de l’arbitre « ne peut avoir pour effet de rendre impossible, ou excessivement difficile, l’exercice des droits conférés au consommateur par le droit communautaire que les juridictions nationales ont l’obligation de sauvegarder » (Cass. 1re civ., 30 septembre 2020, n° 18-19.241, publié au Bulletin). Dans cette affaire, la clause imposait à une cliente résidant en France un arbitrage à Madrid ; elle a été écartée parce qu’elle n’avait pas été négociée individuellement et que la cliente n’était pas en mesure d’en discuter les termes.
Pour la compétence, la première chambre civile a rappelé cette année qu’« En cas de contrat conclu avec un consommateur, celui-ci ne peut être privé par une clause attributive désignant une juridiction étrangère du droit de saisir les juridictions françaises s’il est domicilié en France » (Cass. 1re civ., 25 mars 2026, n° 24-21.790, publié au Bulletin et au Rapport). Le même arrêt montre la limite du raisonnement : les règles européennes protectrices ne jouaient pas, faute pour la banque étrangère en cause d’avoir dirigé son activité vers la France, et c’est le droit international privé français qui a permis au client de plaider en France. Sur le plan territorial, l’article R. 631-3 du code de la consommation permet au consommateur de saisir, outre les juridictions désignées par le code de procédure civile, « la juridiction du lieu où il demeurait au moment de la conclusion du contrat ou de la survenance du fait dommageable ».
Le juge des référés peut intervenir rapidement. Selon l’article 835 du code de procédure civile, lorsque l’existence de l’obligation n’est pas sérieusement contestable, il peut accorder une provision au créancier ou ordonner l’exécution de l’obligation, même s’il s’agit d’une obligation de faire, comme le transfert de crypto-actifs vers une adresse que vous désignez. L’article 145 du même code permet par ailleurs d’obtenir une mesure d’instruction « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige », par exemple la communication de l’historique de votre compte. Une décision française devrait toutefois être exécutée là où se trouvent la société et ses actifs : hors de l’Union européenne, cette exécution supposerait une procédure propre à l’État concerné, ce qui pèse sur la stratégie et sur les coûts.
Le scénario le plus grave serait celui d’une procédure d’insolvabilité, que rien n’annonce à ce jour. Si elle concernait une société établie à Abou Dhabi, elle serait en principe régie par le droit de ce centre financier, et il faudrait suivre les règles et délais fixés par les organes de la procédure. Les conditions d’utilisation stipulent que les sommes en devises détenues pour le compte des clients ne font pas partie du patrimoine du dépositaire et ne sont pas à la disposition de ses créanciers en cas d’insolvabilité ; pour les crypto-actifs, elles décrivent une détention en fiducie et une séparation comptable. Si une procédure était ouverte en France contre une société qui conserve des crypto-actifs pour vous, le droit français distinguerait deux démarches. La revendication des biens fongibles est possible lorsque « des biens de même nature et de même qualité se trouvent entre les mains du débiteur ou de toute personne les détenant pour son compte » (article L. 624-16 du code de commerce), et « La revendication des meubles ne peut être exercée que dans le délai de trois mois suivant la publication du jugement ouvrant la procédure » (article L. 624-9).
Pour un solde en euros, en revanche, « une demande de restitution de fonds ne peut être formée par voie de revendication », la seule voie ouverte au créancier étant de déclarer sa créance (Cass. com., 22 mai 2013, n° 11-23.961, publié au Bulletin). Le délai est de deux mois à compter de la publication du jugement d’ouverture au Bulletin officiel des annonces civiles et commerciales, augmenté de deux mois pour les créanciers qui ne demeurent pas en France métropolitaine lorsque la procédure y est ouverte (article R. 622-24 du code de commerce). En cas de doute sur la qualification, mieux vaut présenter les deux demandes en parallèle. Les étapes et pièces utiles sont détaillées dans notre modèle de déclaration de créance pour l’épargnant et dans notre analyse de la faillite d’une plateforme crypto pour le client qui pratiquait l’earn ou le staking ; voir aussi la page du cabinet consacrée aux procédures collectives.
Ces recours n’ont d’utilité que si l’engagement de la plateforme n’était pas tenu, si la reprise des retraits tardait au-delà des délais annoncés ou si votre solde ne correspondait pas à vos relevés. Dans tous les cas, seule une communication officielle de la société qui conserve vos actifs, puis l’état de votre compte à la réouverture, permettront de savoir si vos avoirs sont intacts. Pour un autre incident récent et ses conséquences pour les anciens clients français, voir notre article sur le piratage de Bitget et les avoirs transférés chez Coinhouse.
Conclusion
Le piratage du 29 octobre 2026 pose à chaque client deux questions : ses crypto-actifs sont-ils toujours là, et qui paierait s’ils ne l’étaient plus ? À la date de rédaction, la plateforme a reconnu une perte d’environ 6,3 milliards de dollars, s’est engagée à l’absorber seule, indique avoir déjà réservé plus de 6,34 milliards de dollars de fonds propres et annonce une reprise progressive des retraits ainsi qu’une preuve de réserves pour le 2 novembre ; environ 3 milliards de dollars ont été gelés. Aucun mécanisme public ne garantit des crypto-actifs : ni la garantie des dépôts, ni celle des titres.
Juridiquement, vos droits reposent sur le contrat et sur cet engagement. Les conditions du 27 octobre 2026 confient la conservation à une société d’Abou Dhabi, qui détient les actifs en fiducie sur des adresses communes, sous le droit de ce centre financier et avec un arbitrage obligatoire. Si le droit français s’appliquait à un client consommateur, la promesse publique pourrait être invoquée comme un acte unilatéral, le droit du dépôt mettrait à la charge du dépositaire la preuve des précautions qu’il avait prises, le standard européen de MiCA désigne le conservateur comme responsable d’un incident qui lui est imputable, et le code de la consommation interdit les clauses qui suppriment le droit à réparation du consommateur. La clause d’arbitrage et la clause attributive de juridiction n’empêchent pas nécessairement un consommateur domicilié en France de saisir le juge français, mais l’exécution d’une décision hors de l’Union resterait une difficulté.
Dans l’immédiat, trois gestes comptent : ignorer toute sollicitation non officielle, conserver la preuve de vos avoirs et vérifier votre solde dans la preuve de réserves, puis décider, sans précipitation et une fois les retraits rétablis, du sort de ce qui reste sur la plateforme, puisque le retrait de vos actifs et la réduction de vos positions sont les seules opérations ouvertes aux clients résidant en France depuis le 1er juillet 2026.
À la date de rédaction, le 31 octobre 2026, la plateforme a reconnu le piratage et promis de couvrir toutes les pertes. Aucune autorité n’a établi de responsabilité et l’enquête sur l’origine de l’attaque se poursuit. Les conditions contractuelles que vous avez acceptées priment sur toute analyse générale, elles peuvent évoluer, et seul un juge peut trancher un litige. Cet article sera mis à jour lors de la reprise des retraits, de la publication de la preuve de réserves ou du rapport d’incident, ou si une autorité se prononce.