Fuite Pocket Bitcoin : 5411 Dossiers Clients Exposés

Quand une société suisse spécialisée dans l’achat de bitcoin annonce, le 3 septembre, que son incident d’août est plus vaste qu’elle ne l’avait d’abord décrit, le réflexe est presque automatique : on cherche le chiffre des fonds volés. Or le chiffre qui compte cette fois n’est pas libellé en satoshis. Il concerne 5 411 clients, des noms, des adresses postales, des montants de virements, parfois un IBAN, parfois une pièce d’identité, parfois une adresse bitcoin publique. Les bitcoins, eux, seraient restés hors d’atteinte. Cette distinction, trop souvent balayée d’un revers de main, change pourtant toute la lecture de l’affaire.

Ce Que Révèle Vraiment L’Enquête De Pocket Bitcoin

Pocket Bitcoin, prestataire helvétique non dépositaire, a terminé son investigation forensique et a identifié deux lots distincts de documents exposés. Le premier, de loin le plus nombreux, rassemble des listes de transactions bancaires concernant 5 120 personnes. Le second, plus sensible, porte sur une correspondance envoyée à des banques partenaires et touche 291 clients. Additionnés, ces deux ensembles forment le nouveau bilan de 5 411 dossiers. Ce n’est pas une seconde attaque. C’est un agrandissement du périmètre déjà annoncé.

La société insiste sur un point qui mérite d’être relu deux fois. Ses bases clients principales, ses systèmes de transaction, ses clés privées et les bitcoins des utilisateurs n’auraient pas été atteints. Les données litigieuses se trouvaient dans une copie de sauvegarde d’un système d’assistance, alimentée par des échanges de conformité. Autrement dit, le coffre-fort numérique n’aurait pas cédé. C’est le classeur administratif, celui qu’on range « à côté » pour parler aux banques, qui a fuité.

Deux Lots, Deux Niveaux De Gravité

Le lot majoritaire ressemble à une photographie froide de la vie bancaire. Des établissements partenaires transmettaient à Pocket Bitcoin, dans le cadre de contrôles réglementaires, des listes de virements. On y trouve le nom, l’adresse de résidence, le montant, la date. Dans certains cas, l’IBAN associé au transfert apparaît aussi. Rien de tout cela n’autorise à dépenser un bitcoin. En revanche, tout cela permet de reconstituer un profil : qui a acheté, quand, pour combien, et parfois depuis quel compte.

Le lot minoritaire est plus délicat. Il s’agit de courriers que Pocket Bitcoin envoyait lui-même aux banques. Selon les dossiers, on y croise des noms, des adresses postales, des adresses bitcoin publiques, des copies de documents d’identité et des justificatifs d’origine des fonds. La société précise que ces éléments n’apparaissent pas tous ensemble pour chaque personne du groupe de 291. Les combinaisons varient. C’est une nuance importante, mais elle n’efface pas le caractère sensible de la matière.

Les clients déjà informés lors de la première communication et qui n’ont pas reçu un nouveau message individuel doivent, selon Pocket Bitcoin, s’en tenir à l’avis initial. D’autres ont pu voir exposées une adresse e-mail ou une conversation d’assistance. Le message de septembre vise surtout ceux dont le dossier entre dans l’un des deux lots documentaires. La société dit les avoir contactés un par un. C’est la moindre des choses, et c’est aussi le début d’une période d’incertitude plus longue que le communiqué.

Pourquoi Une Sauvegarde D’Assistance Change Tout

Dans l’imaginaire crypto, la faille spectaculaire reste celle du hot wallet éventré, des clés exportées, des retraits en chaîne. Ici, le scénario est plus prosaïque et, à certains égards, plus moderne. Les données ressemblant à des relevés et à des pièces d’identité circulaient parce que la réglementation l’exige. Elles ont été recopiées dans un environnement de support. Cet environnement a été atteint. Les bases « nobles » seraient restées à l’abri.

Cette architecture explique un paradoxe apparent. Comment peut-on parler de listes de transactions et de documents d’identité si les bases transactionnelles n’ont pas été compromises ? Parce que la conformité fabrique des doublons. Un virement contrôlé par une banque partenaire génère une liste. Un dossier d’origine des fonds génère un PDF. Un échange avec un compliance officer génère une pièce jointe. Tout cela finit parfois dans le même tiroir numérique que les tickets d’assistance. Le tiroir n’est pas le grand livre. Il est souvent moins bien gardé.

En l’état, nous n’avons aucune indication que les informations concernées aient été utilisées de manière abusive.

Pocket Bitcoin

La phrase est prudente. Elle décrit l’instant de l’enquête, pas l’avenir des données. Une fuite nominative a une durée de vie plus longue qu’un mot de passe. On change un mot de passe. On ne change pas son nom, rarement son adresse, presque jamais l’historique visible d’une adresse bitcoin déjà utilisée. C’est précisément ce décalage temporel qui rend l’incident plus intéressant, et plus inquiétant, qu’un simple bulletin de sécurité.

Le Modèle Non Dépositaire Ne Protège Pas Les Dossiers Papier

Pocket Bitcoin se présente comme un service noncustodial. L’entreprise n’a pas les clés des clients. Elle ne peut donc pas, en principe, signer à leur place. Sur ce terrain, le discours est cohérent avec le bilan technique annoncé : l’attaquant n’aurait pas eu accès aux soldes. Acheter et vendre continuerait de fonctionner. Pour beaucoup d’utilisateurs, cette phrase suffit à refermer l’onglet. Elle ne devrait pas.

Une adresse bitcoin publique ne donne aucun pouvoir de transfert. Elle donne un pouvoir d’observation. Si cette adresse est collée à un nom, à un domicile, à un virement bancaire, le registre public cesse d’être anonyme pour la personne concernée. Déplacer les fonds ensuite n’efface pas l’historique déjà inscrit. Pocket Bitcoin l’a rappelé. C’est une vérité de protocole, pas un argument de communication.

Le non-custodial protège contre un type de catastrophe. Il ne protège pas contre la reconstitution d’un patrimoine visible, ni contre le courrier postal falsifié, ni contre l’appel d’un faux conseiller qui connaît le montant exact d’un achat effectué en mars. La sécurité des clés et la sécurité des identités ne sont plus le même métier. L’incident suisse le montre avec une clarté presque scolaire.

Le Risque Qui N’Arrive Pas Par E-Mail

La société estime que les deux lots nouvellement identifiés ne relient pas, en tant que tels, adresses e-mail et identifiants de connexion. Elle n’y voit donc pas un risque immédiat de hameçonnage ciblé par message électronique issu de ces seuls fichiers. En revanche, elle désigne nommément un autre vecteur : la lettre, le colis, l’appel s’appuyant sur une adresse postale réelle et sur un fait bancaire vrai.

Imaginez un courrier à en-tête approximatif. Il mentionne un virement dont vous vous souvenez. Il cite une date. Il parle d’une « régularisation » ou d’un « gel temporaire ». Il demande de rappeler un numéro, de signer un document, parfois de « sécuriser » des bitcoins en les envoyant vers une adresse de recouvrement. Le détail vrai fait office de tampon d’authenticité. C’est ainsi que le phishing quitte l’écran et entre dans la boîte aux lettres.

La consigne de l’entreprise est simple et mérite d’être gravée quelque part : elle ne demandera jamais une seed phrase, ni un transfert de bitcoin, par un appel ou un courrier non sollicité. Cette phrase devrait être affichée dans toutes les FAQ du secteur. Elle est trop rarement lue avant l’incident, presque toujours après.

Autorités Suisses, Liechtenstein Et Dépôt De Plainte

Pocket Bitcoin a notifié le Préposé fédéral à la protection des données et à la transparence, en Suisse, ainsi que le bureau de protection des données du Liechtenstein. Une plainte a été déposée auprès de la police. L’entreprise n’identifie pas le suspect et ne livre pas le détail opérationnel de l’enquête judiciaire. C’est habituel. Cela laisse toutefois un vide narratif que les rumeurs aiment remplir.

La faille à l’origine de l’incident serait désormais fermée. Des mesures supplémentaires auraient été installées. La société revoit la manière dont elle stocke et transmet la correspondance bancaire et les pièces de conformité. Elle promet davantage d’informations dans les semaines qui viennent. Elle n’anticipe pas de nouvelle catégorie d’exposition, tout en réservant le droit de prévenir les clients si un constat ultérieur changeait la donne.

Ce calendrier institutionnel compte autant que le communiqué technique. En Suisse comme au Liechtenstein, la notification n’est pas un accessoire de relations publiques. Elle engage un suivi, des questions, parfois des injonctions sur la durée de conservation, le chiffrement au repos, le cloisonnement des environnements d’assistance. Le secteur crypto a longtemps traité ces sujets comme des annexes. Ils deviennent le cœur du risque.

Un Motif Qui Revient Dans Tout Le Secteur

L’affaire Pocket Bitcoin n’arrive pas seule. Ces derniers mois, plusieurs révélations ont porté sur des fichiers clients hébergés hors des systèmes crypto « cœur ». On a vu des totaux impressionnants, plus de 250 000 enregistrements évoqués dans un agrégat récent, et une autre affaire d’août chez Bits of Gold où identité, données bancaires et informations de portefeuille ont pu transiter par un tiers, sans que fonds et mots de passe soient présentés comme atteints.

Le schéma se répète avec une régularité lassante. Le protocole tient. Le wallet tient. Le prestataire de support, l’outil de tickets, la boîte partagée, le partenaire KYC, la sauvegarde mal segmentée, eux, lâchent. On se retrouve alors avec des données de vie réelle collées à une activité on-chain. C’est exactement le cocktail dont les campagnes d’ingénierie sociale ont besoin cinq ans plus tard, quand plus personne ne se souvient du communiqué d’origine.

Il y a aussi Ledger, poursuivi pour des sommes considérables autour d’une ancienne fuite et de vols ultérieurs allégués. Sans préjuger du dossier judiciaire, le précédent a ancré une leçon dans la mémoire collective : une base d’adresses postales de détenteurs de matériel crypto peut nourrir des attaques physiques et des courriers piégés longtemps après la première faille. Pocket Bitcoin le dit à sa manière, plus sobre, plus suisse, tout aussi concrète.

Ce Que Contiennent Vraiment Les Listes Bancaires

Pour un lecteur peu familier des contrôles anti-blanchiment, une « liste de transactions envoyée par une banque partenaire » peut sembler anodine. Elle ne l’est pas. Elle relie un flux fiat à une intention crypto. Elle date l’opération. Elle localise souvent le client. Elle donne une idée de capacité financière. Dans un univers où beaucoup croient encore que « bitcoin égale anonymat », ce fichier est une contradiction vivante.

Les IBAN, lorsqu’ils figurent, ajoutent une clé de plus. Ils ne permettent pas, à eux seuls, de vider un compte. Ils facilitent toutefois des tentatives de fraude au virement, des usurpations de créancier, des demandes de « mise à jour de domiciliation ». Combinés à une adresse postale, ils rendent le scénario plus crédible auprès d’un service client bancaire déjà saturé.

Les dates et les montants, eux, servent le social engineering. Un fraudeur qui connaît le jour exact d’un achat n’a plus besoin d’inventer. Il récite. La victime reconnaît sa propre histoire et baisse la garde. C’est mécaniquement plus efficace qu’un e-mail générique promettant un airdrop.

Documents D’Identité Et Preuves De Fonds

Le groupe de 291 personnes concentre l’essentiel de l’inconfort. Une copie de pièce d’identité n’est pas une donnée volatile. Elle sert à ouvrir des comptes, à contourner des vérifications, à fabriquer des dossiers ailleurs. Un justificatif d’origine des fonds raconte parfois un salaire, une vente immobilière, un héritage, une plus-value. C’est une biographie financière condensée.

Pocket Bitcoin souligne que tous les clients de ce groupe n’ont pas vu l’ensemble de ces catégories exposées. L’information est honnête. Elle oblige toutefois chaque personne notifiée à lire son courrier individuel plutôt qu’à se rassurer avec la moyenne. La moyenne n’existe pas quand on parle de passeport scanné.

L’adresse bitcoin publique, dans ce contexte, n’est plus un identifiant technique. Elle devient une fenêtre. Quiconque associe la fenêtre au nom peut suivre les mouvements futurs s’ils partent de la même adresse, ou du moins relire le passé. D’où le conseil, déjà classique mais trop tardif une fois l’association faite, de ne plus réutiliser une adresse trop exposée pour de nouvelles réceptions, tout en sachant que l’histoire ancienne demeure gravée.

Ce Que Les Clients Peuvent Faire Sans Paniquer

La première discipline est banale et efficace : surveiller les comptes bancaires, les prélèvements, les tentatives d’ouverture de produits à son nom. La seconde est plus spécifique au crypto : traiter comme hostile tout contact inattendu qui parle de seed, de transfert de consolidation, de « mise en sécurité officielle ». La troisième concerne le domicile. Un colis, une lettre recommandée, une visite ne deviennent pas légitimes parce qu’ils citent un achat réel.

Ceux qui n’ont pas reçu de notification nouvelle peuvent rester sur le premier avis, comme l’indique l’entreprise. Ceux qui en ont reçu une devraient noter précisément quelles catégories les concernent. Nom et adresse seulement, ce n’est pas la même exposition qu’une pièce d’identité. Adresse bitcoin seulement, ce n’est pas la même chose qu’un IBAN. Le plan de vigilance s’ajuste. Il ne s’annule jamais tout à fait.

• Banques et cartes : alertes de mouvement, lecture régulière des relevés, méfiance envers les appels de « service fraude » non initiés par vous.
• Domicile : ne pas signer, ne pas renvoyer de documents d’identité sur la seule foi d’un courrier mentionnant Pocket Bitcoin.
• Portefeuilles : aucune phrase de récupération dictée au téléphone, jamais, à personne.
• Adresses exposées : considérer qu’elles sont désormais liées à une identité réelle.

Il n’est pas nécessaire de vendre dans la précipitation. Rien dans le communiqué n’indique une atteinte aux fonds. La précipitation, d’ailleurs, est l’alliée du fraudeur qui propose « d’aider à sécuriser ». Le bon réflexe est lent, écrit, vérifié par un canal que le client a lui-même ouvert.

La Conformité Produit Des Archives Plus Dangereuses Que Les Soldes

Depuis que les on-ramps fiat sont devenus incontournables, chaque achat « propre » laisse une trace chez un intermédiaire. Cette trace n’est pas un défaut du bitcoin. C’est le prix de la passerelle. Les États veulent des dossiers. Les banques veulent des dossiers. Les prestataires accumulent des dossiers. Puis un système d’assistance les recopie. Puis une sauvegarde voyage. Puis un incident arrive.

On peut défendre la lutte contre le blanchiment et, en même temps, reconnaître que la pile documentaire ainsi créée est une cible plus juteuse, pour certains attaquants, qu’un nœud bien configuré. Voler 0,3 bitcoin isolé demande de la technique. Obtenir 5 000 noms d’acheteurs suisses de bitcoin, avec rues et montants, ouvre d’autres marchés : chantage, phishing, revente de fichiers, ciblage physique.

Pocket Bitcoin dit revoir le stockage et le transfert de ces correspondances. C’est le bon dossier. Chiffrement des pièces jointes, durée de rétention courte, séparation stricte entre tickets de support et pièces KYC, accès nominatif journalisé, interdiction des copies locales non maîtrisées : la liste des bonnes pratiques n’a rien de mystérieux. Elle est seulement rarement appliquée avec la même ferveur que la cérémonie des clés.

Ce Que L’Incident Dit Du Mythe De L’Anonymat Helvétique

La Suisse reste, dans l’imaginaire collectif, le pays du secret. Le bitcoin, dans un autre imaginaire, reste la monnaie de l’ombre. Les deux images se télescopent mal avec un prestataire qui envoie des copies de passeport à des banques du Liechtenstein et archive le tout dans un outil d’assistance. Il n’y a là aucun scandale moral. Il y a un décalage culturel. Beaucoup d’utilisateurs choisissent un acteur suisse pour la réputation de prudence. Ils découvrent que la prudence réglementaire produit précisément les fichiers qu’ils croyaient éviter.

Ce n’est pas une raison pour caricaturer la place. C’est une raison pour lire les politiques de conservation. Combien de temps un scan d’identité reste-t-il accessible au support ? Qui peut le télécharger ? Est-il chiffré hors des sessions d’analyse ? Ces questions étaient perçues comme juridiques. Elles sont devenues opérationnelles.

Penser le bitcoin comme un compte dans le nuage, entièrement décentralisé, n’empêche pas les dossiers d’identité de vivre ailleurs, chez des humains, dans des outils d’assistance.

Lecture de l’incident suisse

Le protocole ne ment pas. Les interfaces, elles, accumulent. Tant que l’achat se fait contre de l’euro ou du franc via un rail bancaire, quelqu’un quelque part possède une liste. La seule variable est la qualité de la serrure posée sur cette liste.

Chronologie D’Une Communication Qui S’Élargit

Août : incident de sécurité, première description, premier cercle de données. Début septembre : l’enquête se clôt, deux groupes apparaissent, le chiffre 5 411 s’impose. Entre les deux, le temps de la forensique. Ce délai est normal. Il est aussi politiquement coûteux, parce que chaque précision tardive ressemble à une minoration initiale. Les entreprises détestent cette séquence. Les clients la vivent comme une douche froide en deux temps.

Pourtant, une communication qui s’élargit après analyse est préférable à une communication figée et fausse. Mieux vaut un second avis précis qu’un premier avis cosmétique. Encore faut-il que le second avis soit lisible, individualisé, et suivi d’actes concrets sur l’architecture. Pocket Bitcoin affirme avoir refermé la vulnérabilité. Le jugement définitif se fera sur la suite : audits, réduction des copies, transparence sur les durées de garde.

Le message publié sur X le 3 septembre résume cette bascule. L’enquête est terminée. Dans certains cas, d’autres données que celles du premier billet sont concernées. Deux groupes sont identifiés. Le ton reste administratif. Il évite le sensationnalisme. Pour une affaire de données personnelles, c’est une qualité. Pour convaincre un public fatigué des « mises à jour », ce n’est pas toujours suffisant.

Pourquoi Les Fonds Intacts Ne Closent Pas Le Débat

Dans les commentaires de marché, on verra bientôt la phrase rituelle : « au moins les coins sont safe ». Elle est factuellement utile. Elle est stratégiquement paresseuse. Une identité liée à une adresse et à un domicile crée un risque asynchrone. Le préjudice peut arriver six mois plus tard, sous la forme d’une lettre, d’une usurpation, d’un harcèlement, d’une tentative chez un autre établissement qui accepte une pièce déjà circulante.

Les assureurs, les banques et les plateformes mesurent encore mal ce préjudice différé. Les utilisateurs aussi. On sait compter une perte on-chain. On sait moins compter dix heures passées à faire opposition, à expliquer à sa banque qu’un PDF a fuité, à déménager une habitude d’épargne vers de nouvelles adresses, à raconter à sa famille qu’il ne faut ouvrir aucun colis bizarre.

C’est pourquoi ranger Pocket Bitcoin dans la case « fausse alerte parce que non-custodial » serait une erreur de catégorie. L’incident est réel. Son objet n’est pas le solde. Son objet est le dossier. Dans une industrie qui se professionnalise, le dossier devient aussi critique que la clé.

Le Phishing Postal A Une Histoire Dans Le Crypto

Les campagnes de lettres piégées visant des détenteurs de matériel ou de comptes ne sont plus une hypothèse d’atelier. Des utilisateurs ont reçu des dispositifs falsifiés, des notices de « remplacement », des mises en demeure fantaisistes. La matière première de ces opérations, ce sont des fichiers d’adresses. Plus le fichier est enrichi — montant, banque, date — plus le courrier peut être sur-mesure.

Pocket Bitcoin anticipe ce registre. Elle a raison. Un nom suisse, une rue précise, un rappel d’un virement de quelques milliers de francs, et le décor est planté. La victime n’a pas besoin d’être naïve. Elle a besoin d’être surprise un mardi matin, entre deux rendez-vous. La fraude contemporaine ne cherche plus uniquement les débutants. Elle cherche les moments de surcharge cognitive.

D’où l’intérêt d’une règle familiale simple, presque étouffante de banalité : aucune décision crypto sur la base d’un papier reçu sans demande préalable. On se connecte soi-même au site connu, on ouvre soi-même l’application, on rappelle soi-même le numéro imprimé de longue date sur un contrat, pas celui du verso de la lettre du jour.

Ce Que Les Prestataires Devraient Changer Ensuite

Si l’on tire une leçon industrielle, elle n’est pas « arrêter de se conformer ». Elle est « cesser de traiter la conformité comme un grenier ». Les pièces KYC ne devraient pas vivre dans le même univers que les conversations « mon virement n’apparaît pas ». Les exports bancaires ne devraient pas séjourner en clair dans une sauvegarde d’outil tiers. Les durées de conservation devraient être défendues comme on défend une seed : avec une doctrine, pas avec un disque qui grossit.

Un autre chantier concerne la minimisation. Faut-il vraiment que le support voie l’IBAN complet ? Faut-il qu’une adresse bitcoin de réception reste collée au PDF d’identité six ans après l’opération ? Souvent, non. Des jetons, des masques, des accès just-in-time existent. Ils coûtent moins cher qu’une crise de réputation et qu’une notification de masse.

Pocket Bitcoin annonce qu’elle publiera davantage sur ces changements. On jugera la qualité de la suite à cette aune, pas à la politesse du communiqué. Les clients, eux, jugeront à l’absence de courriers étranges dans les mois qui viennent. C’est un critère injuste, car l’absence de signal n’est pas une preuve. C’est malgré tout le critère vécu.

Lire L’Affaire Sans Amplifier La Peur Inutile

Il faut résister à deux excès. Le premier consiste à crier au pillage généralisé alors que l’entreprise décrit des bases principales intactes et des soldes inaccessibles. Le second consiste à hausser les épaules parce que « ce n’est que du KYC ». Les 5 411 personnes concernées n’habitent pas dans un tableur. Elles habitent dans des immeubles, reçoivent du courrier, parlent à des parents qui ne comprennent rien au bitcoin et qui, eux, cliqueront peut-être au mauvais endroit.

Un style humain, ici, commande la mesure. L’incident est sérieux. Il n’est pas unique. Il n’est pas la fin du modèle non dépositaire. Il révèle plutôt que ce modèle, s’il est exemplaire du côté des clés, reste banal du côté des fichiers. La banalité des fichiers est devenue le risque central des on-ramps régulés.

Pour le lecteur qui n’est pas client de Pocket Bitcoin, l’utilité du récit reste entière. Demandez à votre prestataire où vivent vos scans. Demandez si le support peut les ouvrir. Demandez ce qui est détruit après revue. Ces questions étaient autrefois reçues comme agressives. Elles sont devenues de simple hygiène.

Une Place Pour La Responsabilité Partagée

L’entreprise porte la responsabilité de la serrure. L’utilisateur porte celle de ses réactions après coup. Les autorités portent celle du suivi. Les banques partenaires, trop souvent invisibles dans ce genre de récit, portent une part du design : pourquoi des listes aussi riches voyagent-elles, sous quelle forme, avec quelle tokenisation ? L’incident suisse devrait aussi se discuter dans les comités de conformité bancaire, pas seulement sur les fils crypto.

Car le fichier n’est pas né chez un pirate. Il est né dans une procédure honnête. C’est ce qui le rend difficile à supprimer. On peut patcher une application. On ne peut pas patcher d’un claquement de doigts une obligation de connaître son client. On peut seulement cesser de multiplier les copies.

Pocket Bitcoin affirme n’avoir, à ce stade, aucun signal d’usage malveillant. Gardons la phrase. Gardons aussi sa limite. Les marchés souterrains de données ne publient pas un communiqué le soir même. La vigilance des 5 411 personnes, et de celles qui n’ont reçu que le premier avis, reste la variable la plus concrète des prochaines semaines.

Ce Qu’Il Faudra Surveiller Dans Les Semaines Qui Viennent

Trois signaux vaudront mieux que mille commentaires. D’abord, le contenu exact des mesures de stockage promises. Ensuite, d’éventuelles précisions policières, même partielles. Enfin, l’apparition ou non de campagnes de courriers citant des faits trop précis pour être le fruit du hasard. Si ces campagnes surgissent, le lien ne sera pas automatiquement prouvé. Il devra toutefois être pris au sérieux.

Sur le marché, l’effet prix sera probablement nul ou anecdotique. Les incidents de données hors chain ne déplacent plus le bitcoin comme le faisaient autrefois les grands drains de plateformes. L’effet réputation, lui, se joue à l’échelle d’une enseigne et d’une place. La Suisse crypto aime la discrétion technique. Une affaire de classeurs est, à sa façon, plus embarrassante qu’une attaque élégante contre un contrat.

Il restera une question de fond, plus large que Pocket Bitcoin : combien de temps encore le secteur pourra-t-il vanter l’autonomie des clés tout en construisant, juste à côté, des entrepôts d’identité aussi classiques qu’une agence immobilière ? Tant que la réponse sera « longtemps, parce que la loi l’exige », la seule bataille utile sera celle de l’architecture de ces entrepôts.

Pour Conclure Sans Refermer Trop Vite

Le 3 septembre, Pocket Bitcoin n’a pas annoncé la disparition de bitcoins clients. Elle a annoncé que la réalité documentaire d’un incident d’août était plus ample, plus nominative, plus bancaire qu’on ne l’avait d’abord dit. 5 120 dossiers de listes. 291 correspondances potentiellement plus lourdes. 5 411 personnes au total dans ce nouveau cadrage. Des autorités prévenues. Une plainte déposée. Un service qui continue. Des clés qui n’auraient pas bougé.

Le récit est moins spectaculaire qu’un piratage de réserve. Il est plus fidèle à l’époque. L’époque n’est plus seulement celle des hot wallets mal gardés. Elle est celle des PDF de conformité qui voyagent, des sauvegardes d’assistance, des adresses postales collées à des adresses on-chain. On peut acheter du bitcoin sans confier sa clé. On confie malgré tout, très souvent, son nom. Cette affaire le rappelle avec la sécheresse d’un inventaire.

Ceux qui sont concernés n’ont pas besoin de théâtre. Ils ont besoin d’une lecture froide de leur notification, d’une surveillance bancaire, d’un refus obstiné de toute seed exigée par lettre ou par téléphone, et d’un peu de patience. Ceux qui ne le sont pas peuvent en profiter pour inspecter, enfin, le grenier KYC de leurs propres prestataires. Le grenier, désormais, est le vrai front.