Fuite KYC Chez Based : Porteurs De Carte Visa Exposés

Vos papiers, s’il vous plaît. La formule a quelque chose de banal au guichet d’une banque. Elle devient autrement plus dérangeante lorsqu’elle sort de la bouche d’un inconnu qui n’aurait jamais dû les voir. Ce jeudi 8 octobre 2026, la fintech singapourienne Based a confirmé qu’un tiers non autorisé s’était introduit, le lundi 5 octobre, dans un tableau de bord interne servant à piloter son programme de carte Visa. Des données KYC de certains porteurs ont pu être consultées. Les fonds, eux, n’ont pas bougé. C’est précisément ce décalage qui rend l’affaire inconfortable : rien n’a été vidé, et pourtant quelque chose d’essentiel a peut-être changé de mains.

Ce que Based a réellement confirmé

Based, également connu sous l’entité SHA2 Labs, n’est pas un protocole DeFi anonyme. C’est une application qui juxtapose un wallet, des fonctions de trading et une carte Visa portant le même nom. Le communiqué publié sur X décrit une intrusion ciblée, pas un siphonnage de coffre. L’alerte est tombée le 5 octobre. L’accès concernait un dashboard d’administration du programme carte. L’attaque aurait été stoppée et contenue dès sa découverte. Les clients touchés ont reçu un courriel le jeudi. Les autorités compétentes ont été informées.

La société ne donne aucun volume. Pas de pourcentage de la base, pas de fourchette, pas de pays dominant parmi les dossiers. Cette retenue est classique dans les premières heures d’un incident, et elle laisse le lecteur face à une zone grise. Certains porteurs sont concernés. Les autres, en théorie, non. Tant que la liste n’est pas claire pour chacun, la prudence se diffuse à toute la clientèle.

Si vous faites partie des utilisateurs concernés, considérez que ces données sont compromises.

Équipe Based, communiqué du 8 octobre 2026

La phrase est sèche, et elle est juste. Une donnée d’identité n’a pas besoin d’être publiée sur un forum pour devenir dangereuse. Il suffit qu’elle ait été lue, copiée, ou simplement ouverte assez longtemps pour être notée. Based demande donc aux personnes notifiées de raisonner comme si le dossier avait quitté le périmètre de l’entreprise.

La chronologie, telle qu’elle est connue

Lundi 5 octobre, détection d’un accès non autorisé sur l’outil interne du programme Visa. Entre cette date et le jeudi, confinement de l’incident, qualification du périmètre, information des autorités, préparation des notifications. Jeudi 8 octobre, publication publique et envoi des courriels aux clients concernés. Les commentaires du message sur X ont été désactivés volontairement, afin de couper court aux faux agents de support qui surgissent dès qu’un nom de fintech circule à côté du mot fuite.

Trois jours séparent la détection de l’annonce publique. Ce délai n’est ni exceptionnellement long ni rassurant en soi. Il correspond souvent au temps minimum pour distinguer ce qui a été ouvert de ce qui a été exfiltré, prévenir un émetteur de carte, et éviter qu’un communiqué prématuré ne décrive mal le périmètre. Il laisse aussi une fenêtre pendant laquelle les personnes concernées ne savaient pas encore qu’elles l’étaient.

Le périmètre exposé, ligne par ligne

Le KYC, pour know your customer, est le dossier que l’émetteur exige avant d’ouvrir un instrument de paiement. Il sert à relier une carte à une personne réelle. Dans le cas décrit par Based, le périmètre potentiel comprend le nom, le numéro de pièce d’identité ou de passeport, la date de naissance et l’adresse. Ce n’est pas un relevé bancaire. C’est la matière première d’une usurpation crédible.

Un nom seul ne vaut pas grand-chose. Un nom associé à une date de naissance, à un numéro de document et à une adresse devient un faisceau. Il permet de remplir un formulaire, de répondre à une question de sécurité, de préparer un appel qui sonne vrai. Il permet aussi, dans certains pays, d’amorcer une démarche administrative si d’autres pièces viennent s’y ajouter plus tard. Based ne dit pas que ces usages ont déjà eu lieu. Il dit que la matière a pu sortir.

L’émetteur de la carte est au centre de l’équation. Les données visées sont celles collectées pour le programme Visa, pas le solde du wallet de trading. Cette distinction compte. Elle montre que l’incident se situe à la jointure entre une application crypto et un rail de paiement classique. C’est souvent là, dans l’outil d’administration partagé avec un partenaire, qu’une fintech est la plus exposée.

Ce qui n’a pas fuité, selon le communiqué

La liste des éléments épargnés est le seul vrai soulagement du dossier. Les numéros de carte ne seraient pas sortis. Les CVV non plus. Les codes PIN restent hors périmètre. Les photos des pièces et les images des contrôles de vivacité n’auraient pas été exposées. Le Based Wallet, utilisé pour le trading, échappe à l’incident. Les fonds présents sur la carte demeurent accessibles, et les paiements Visa continuent.

Autrement dit, personne ne peut, sur la seule base de ce qui a été décrit, cloner la carte et payer dans un terminal. Le risque immédiat n’est pas un débit surprise au supermarché. Il est plus lent, plus personnel, et souvent plus rentable pour celui qui détient un dossier d’identité : se faire passer pour la fintech, pour l’émetteur, ou pour une autorité, afin d’obtenir ce qui manque encore.

Il faut toutefois lire ces exclusions avec la prudence d’un premier communiqué. Une société peut affirmer qu’un champ n’était pas dans la base consultée, puis découvrir plus tard une copie secondaire, un export, un journal trop bavard. Based présente le confinement comme rapide. Elle n’a pas publié d’audit indépendant au moment de l’annonce. Le lecteur raisonnable retient donc deux phrases en même temps : les secrets de paiement n’ont pas été annoncés comme compromis, et la qualification peut encore s’affiner.

Pourquoi désactiver les commentaires n’est pas un détail

Based a assumé un choix peu habituel : couper les commentaires de sa publication, expressément, pour des raisons de sécurité. Le geste vise les faux supports. Dès qu’une fintech parle d’incident, des comptes apparaissent, proposent une vérification, demandent une capture d’écran, un code, une phrase de récupération. Le fil public devient alors un hall de gare où l’on aborde les voyageurs inquiets.

Fermer les commentaires ne supprime pas ces comptes. Cela retire simplement la scène la plus visible. L’équipe rappelle que le support passe par le chat intégré à l’application, et qu’aucun membre ne contacte les utilisateurs en message privé sur Telegram ou sur X. La règle est simple à retenir, et elle vaut bien au-delà de cette affaire. Le canal officiel est celui que vous ouvrez vous-même dans l’application, pas celui qui vient vous chercher.

Une carte crypto n’est pas un wallet

Pour comprendre l’incident, il faut séparer deux objets que l’application présente côte à côte. Le wallet sert à détenir et à échanger des actifs. La carte sert à payer dans le réseau Visa, souvent en convertissant un solde au moment de la dépense. Le premier repose sur des clés et des signatures. La seconde repose sur un émetteur, un processeur, un programme de conformité, et donc sur des dossiers nominatifs.

C’est cette seconde couche qui a été touchée. Un attaquant n’a pas eu besoin de casser une seed phrase pour lire un tableau d’administration. Il a eu besoin d’un accès à un outil interne. La différence est majeure pour les fonds, et mince pour la vie civile du client. On peut garder ses cryptos et perdre, le même jour, la tranquillité de son passeport.

Les programmes de cartes adossés à des applications crypto se sont multipliés parce qu’ils règlent un problème concret : dépenser sans repasser par une banque traditionnelle à chaque achat. Ils réintroduisent toutefois le problème que la garde personnelle avait contourné. Dès qu’un tiers émet un instrument de paiement à votre nom, il doit vous connaître. Et ce qu’il doit connaître devient une cible.

Ce que contient vraiment un dossier KYC

Un dossier KYC n’est pas une formalité cosmétique. Pour une carte de paiement, il relie une personne, un document, une adresse et parfois une preuve de revenus ou de résidence. Dans le périmètre décrit ici, quatre briques suffisent à inquiéter : l’état civil, le numéro de document, la date de naissance, l’adresse. Chacune a une durée de vie longue. Un mot de passe se change. Une date de naissance ne se change pas.

Le numéro de passeport est particulièrement sensible. Il sert de clé dans des compagnies aériennes, des hôtels, des démarches consulaires, des ouvertures de compte. Combiné à une adresse récente, il aide à passer des contrôles automatiques qui ne demandent pas la photo du document. Based indique que les images, elles, n’ont pas fui. C’est une bonne nouvelle relative. Beaucoup de fraudes n’ont pas besoin de la photo si le reste du dossier est cohérent.

L’adresse, enfin, ancre la personne dans un lieu. Elle sert aux courriers piégés, aux usurpations de livraison, aux recoupements avec d’autres fuites plus anciennes. Une adresse déjà publique sur un réseau social n’a pas la même valeur qu’une adresse confirmée par un émetteur de carte. La confirmation est le produit. L’attaquant n’achète pas un nom. Il achète la preuve que ce nom a passé un contrôle.

L’ingénierie sociale, le vrai produit de cette fuite

Les campagnes qui suivent ce type d’incident ont une mécanique connue. Le message cite un détail exact, donc rare : les quatre derniers caractères d’un document, une date, une ville. Il crée l’urgence. Il propose une vérification, un gel, un remboursement, une mise à jour de sécurité. Il demande ensuite ce que la fuite n’a pas donné : un code, une validation, un virement de test, une phrase secrète.

Based a prévenu que le support ne passera jamais par un message privé. Cette consigne mérite d’être répétée à voix haute dans les foyers concernés. Un proche peut recevoir le même texto, croire bien faire, et transmettre un code. Le prétexte sera administratif. Le ton sera calme. Le logo sera approximatif, ou parfaitement copié. L’usurpation n’a pas besoin d’être brillante quand le dossier est déjà vrai.

• Méfiez-vous de tout contact que vous n’avez pas ouvert vous-même. Un appel, un texto ou un message sur un réseau qui cite l’incident n’est pas une preuve de légitimité.
• Ne transmettez aucun code reçu par SMS ou par courriel. Ces codes servent à valider une action, pas à rassurer un interlocuteur.
• Passez par le chat de l’application si vous devez vérifier un courriel de notification ou l’état de votre carte.
• Surveillez les ouvertures de compte et les démarches à votre nom dans les semaines qui viennent, pas seulement les débits de la carte.
• Prévenez les proches qui pourraient être contactés en votre nom, surtout s’ils gèrent une partie de vos démarches.

Aucune de ces précautions ne répare un numéro de passeport. Elles réduisent la fenêtre pendant laquelle ce numéro peut servir de levier. C’est le seul levier que le client contrôle encore.

Le contexte danois, et ce qu’il éclaire

L’annonce de Based intervient dans un climat où les identifiants nationaux font eux aussi la une. Le Danemark recensait récemment l’exposition d’environ huit millions d’identifiants nationaux. Le chiffre donne le vertige dans un pays de cette taille : ce n’est plus un échantillon, c’est presque la population. Il rappelle qu’une donnée d’état civil n’est pas un secret de niche. Elle circule déjà dans des bases administratives, des prestataires, des sous-traitants.

Le parallèle n’est pas une équivalence. Based n’a pas annoncé un volume comparable, et rien n’indique que l’incident singapourien touche un registre national. Le rapprochement sert à autre chose. Il montre que l’identité est devenue une matière première industrielle, volée par lots, recoupée, revendue. Une fuite de carte crypto ne flotte pas dans un vide. Elle s’ajoute à des bases plus anciennes, parfois plus larges, parfois plus pauvres en détails.

C’est le recoupement qui inquiète les personnes déjà présentes dans une fuite précédente. Un nom vu ici, une adresse vue ailleurs, un numéro de téléphone vu dans une troisième base : le dossier se complète sans que chaque incident, pris seul, paraisse catastrophique. Based n’a pas communiqué de téléphone dans le périmètre décrit. D’autres fuites l’ont fait pour d’autres populations. L’assemblage se fait en aval, loin du communiqué.

Oracle, la santé, et la semaine d’avant

La semaine précédant l’annonce de Based, une cyberattaque visant Oracle avait exposé des données de santé concernant près de vingt millions de personnes. Le secteur n’a rien à voir. Le mécanisme, si. Un accès à un outil ou à un environnement qui n’aurait pas dû être lisible, des dossiers nominatifs, une annonce après coup, puis la crainte d’usages différés. La santé et la finance se ressemblent sur un point : la donnée vole plus longtemps que l’argent.

Vingt millions de dossiers médicaux et un nombre inconnu de porteurs de carte ne se comparent pas en gravité brute. Ils se comparent en méthode. L’attaquant moderne ne cherche pas toujours le coffre. Il cherche le tableau de bord, le ticket d’assistance, l’export oublié, le compte d’un prestataire. Based décrit exactement ce type d’entrée : un dashboard interne du programme carte, pas une brèche dans la chaîne de blocs.

Cette précision devrait calmer les raccourcis. Il ne s’agit pas, sur la base du communiqué, d’une faille de Visa en tant que réseau mondial, ni d’une compromission du protocole qui héberge les fonds de trading. Il s’agit d’un outil d’administration. Ces outils sont le point faible récurrent des programmes de cartes, parce qu’ils concentrent des dossiers et parce qu’ils sont maniés par des humains, des prestataires, des accès temporaires.

1,26 milliard dérobés au troisième trimestre, et la périphérie

Pendant que les porteurs lisaient le communiqué, le bilan des piratages de protocoles crypto sur le troisième trimestre s’établissait autour de 1,26 milliard de dollars siphonnés. Le chiffre concerne des vols d’actifs, pas des lectures de passeports. Il éclaire néanmoins la saison. Les équipes offensives sont actives, financées, et opportunistes. Quand un coffre est trop dur, la périphérie suffit.

La périphérie, ici, c’est tout ce qui entoure le wallet : le support, le KYC, l’émetteur, le tableau de bord, le partenaire qui imprime le plastique, le prestataire qui stocke les selfies. Based a justement séparé le wallet de l’incident. Cette séparation est une bonne nouvelle pour les soldes. Elle est aussi un aveu de structure. L’application peut être saine sur la garde des actifs et fragile sur l’administration de la carte.

Les mois qui viennent diront si cette affaire reste un incident de conformité ou si elle devient le prologue d’une campagne de phishing massive. Based elle-même anticipe le second scénario en coupant les commentaires et en fixant un canal unique. Parier sur l’absence de relance serait naïf. Les données d’identité ont une valeur de revente même lorsqu’elles ne permettent pas un paiement immédiat.

Singapour, l’émetteur, et la chaîne de responsabilité

Based est présentée comme une fintech singapourienne. Le lieu du siège ne dit pas où sont hébergées les bases, ni quel établissement émet réellement la carte. Un programme Visa implique presque toujours plusieurs maillons : la marque, l’émetteur, le processeur, l’application visible par le client, parfois un partenaire local selon le pays de résidence. L’intrusion sur un dashboard interne peut donc concerner un maillon que le grand public ne nomme jamais.

Cette opacité n’est pas forcément un mensonge. Elle est structurelle. Le client voit une application et une carte. Derrière, un contrat de programme, des accès d’administration, des rôles, des journaux. Based affirme avoir contenu l’accès et prévenu les autorités compétentes. Elle ne détaille pas quelles autorités, ni dans quel pays. Pour un porteur européen, la question du responsable de traitement n’est pas théorique. C’est elle qui détermine les recours, les délais de notification, et parfois l’amende.

Rien dans le communiqué ne permet de conclure à une violation caractérisée d’un texte précis. L’article de circonstance se contente de noter le cadre. Une carte destinée à des clients internationaux brasse des dossiers qui relèvent de plusieurs droits. Le KYC d’un résident français n’a pas le même régime que celui d’un résident singapourien. L’entreprise, elle, doit tenir les deux bouts avec le même outil. C’est souvent dans cet outil unique que l’incident se loge.

Ce que les porteurs peuvent faire concrètement

Le premier réflexe utile est de lire le courriel reçu, s’il y en a un, sans cliquer sur un bouton pressant. L’adresse d’expédition se vérifie avec méfiance, puis l’information se recoupe dans l’application, via le chat officiel. Si aucun courriel n’est arrivé, cela ne prouve pas l’absence de risque, mais cela correspond à la communication de Based : seuls certains porteurs sont notifiés.

Le second réflexe concerne les documents. Un numéro de passeport potentiellement lu ne se révoque pas comme un mot de passe. Selon les pays, un signalement auprès des autorités qui délivrent le document peut être envisagé si des démarches suspectes apparaissent. Il est prématuré de recommander un renouvellement systématique sans fait nouveau. Il n’est pas prématuré de conserver une trace de la notification, datée, au cas où une démarche future exigerait de prouver que vous avez été prévenu.

Le troisième réflexe est bancaire au sens large. Surveillez les ouvertures de ligne, les demandes de crédit, les changements d’adresse chez des prestataires, pas seulement le solde de la carte Based. Les fonds de l’application sont annoncés intacts. L’usurpation, elle, vise souvent un autre établissement, qui ne sait pas que votre dossier a circulé.

Ce qu’il ne faut pas faire

Il ne faut pas envoyer une photo de passeport à un inconnu qui prétend accélérer le gel du dossier. Il ne faut pas installer un outil de support envoyé par lien. Il ne faut pas déplacer ses fonds vers une adresse dictée par message, sous prétexte de les mettre à l’abri. Based a précisément indiqué que le wallet n’est pas concerné. Un ordre de transfert urgent contredit donc le communiqué, et sent le leurre.

Il ne faut pas non plus publier soi-même, sur un réseau, la capture du courriel de notification. Cette capture confirme à des tiers que vous êtes dans le lot. Elle peut contenir un identifiant client. La discrétion n’est pas de la paranoia. C’est la suite logique d’un incident qui porte déjà sur l’identité.

Enfin, il ne faut pas conclure que la carte est devenue inutilisable. Les paiements sont annoncés comme fonctionnels. Couper tous ses moyens de paiement dans la précipitation peut créer d’autres problèmes, surtout en déplacement. La mesure proportionnée est la vigilance, pas l’auto-blocage, sauf consigne contraire reçue dans l’application.

Pourquoi les tableaux de bord sont des cibles de choix

Un dashboard interne est conçu pour des opérateurs. Il affiche des dossiers, des statuts, des recherches par nom, parfois des exports. Il est l’inverse d’un coffre. Son métier est de rendre l’information lisible. Lorsqu’un accès dérape, la lisibilité se retourne contre le client. L’attaquant n’a pas à déchiffrer une base obscure. Il consulte ce que le support consulte.

Les causes classiques sont moins spectaculaires qu’un exploit de cinéma : un compte trop privilégié, un prestataire encore actif après la fin de mission, un mot de passe réutilisé, une session oubliée, une interface exposée. Based ne détaille pas le vecteur. Le communiqué parle d’un tiers non autorisé et d’un arrêt rapide. L’absence de mode opératoire est normale à ce stade. Elle empêche aussi de juger si le correctif est structurel ou simplement un compte coupé.

Pour l’utilisateur, le vecteur change peu la conduite à tenir. Qu’il s’agisse d’un vol d’identifiants ou d’un abus de droit, le résultat annoncé est le même : des champs KYC ont pu être lus. La question ouverte est la durée de l’accès avant détection. Based situe l’alerte au 5 octobre et la contenue immédiatement après la découverte. Elle ne dit pas depuis quand la porte était ouverte.

Fonds intacts : une phrase à lire jusqu’au bout

La phrase la plus reprise sera celle des fonds intacts. Elle est importante, et elle est partielle. Intacts signifie que l’incident décrit ne porte pas sur le solde du wallet ni sur la disponibilité de la carte. Cela ne signifie pas que chaque client est à l’abri d’une arnaque ultérieure qui utiliserait les données lues. Le vol et l’escroquerie sont deux temps. Le premier peut être raté, ou non tenté. Le second commence souvent après le communiqué, quand les gens cherchent quoi faire.

C’est pour cette raison que Based insiste sur le canal. Une entreprise qui craint surtout un débit fraude parle de blocage de carte et de remplacement de plastique. Une entreprise qui craint l’usurpation parle de messages privés et de faux support. Le communiqué est clairement dans le second registre. Les porteurs doivent l’entendre ainsi.

Le support passe par le chat de l’application. Personne ne vous écrira en privé sur Telegram ou sur X pour régler cet incident.

Consigne rappelée par Based

Cette consigne survivra à l’actualité. Elle s’applique à la prochaine fintech, à la prochaine banque, au prochain émetteur. Le scénario du faux agent est devenu un classique parce qu’il fonctionne sur des gens pressés, pas parce qu’il est sophistiqué. Lui retirer la scène des commentaires est un geste défensif honnête. Lui retirer son efficacité dépend ensuite de chaque lecteur.

Ce que l’on ignore encore

Le nombre de porteurs. La durée exacte de l’accès avant alerte. Le fait de savoir si les données ont été copiées ou seulement affichées. L’identité du maillon technique : application, émetteur, prestataire. Le pays des autorités saisies. L’existence ou non d’une demande de rançon, non mentionnée. La date à laquelle un rapport plus complet sera publié. Aucun de ces manques n’invalide le communiqué. Ils en fixent la limite.

Une communication de crise crédible reconnaît ce qu’elle ne sait pas. Based a choisi la sobriété : périmètre, exclusions, canal de support, notification des concernés. Il manquera, pour les observateurs, un chiffre et un calendrier de suivi. Sans chiffre, chacun se demande s’il est dans le lot. Sans suivi, la confiance se reconstruit plus lentement que le dashboard.

Les clients non notifiés peuvent légitimement demander une confirmation négative, pas seulement l’absence de courriel. Un message qui dit vous n’êtes pas concerné vaut mieux qu’un silence, surtout lorsque des campagnes parasites vont imiter le courriel officiel. Based a les moyens de lever ce doute dans l’application. C’est probablement le prochain geste utile.

La carte comme surface d’attaque des applications crypto

Depuis plusieurs années, les applications qui mêlent trading et paiement plastic cherchent à rendre la crypto dépensable. Le compromis est connu des équipes conformité : plus l’instrument ressemble à une carte bancaire, plus le dossier client ressemble à celui d’une banque. Based n’est pas la première à offrir ce couple wallet plus carte. Elle est, en cette journée d’octobre, l’exemple public d’un risque que beaucoup de fiches produit minimisent.

Le marketing parle de liberté de dépense. Le registre des risques devrait parler de concentration d’identité. Un wallet en auto-garde peut fonctionner sans que l’éditeur connaisse votre passeport. Une carte Visa, non. Choisir la carte, c’est accepter ce dossier. L’incident ne rend pas le choix illégitime. Il rappelle son prix, qui n’est pas seulement un frais de tenue de compte.

Les porteurs qui n’utilisent la carte que rarement restent concernés si leur KYC a été ouvert. L’usage du plastique n’est pas le critère. Le critère est la présence dans la base administrée par le dashboard. Un compte ouvert, vérifié, puis laissé au repos, peut figurer dans le lot. D’où l’importance de la notification individuelle, plutôt que d’une alerte générale qui laisserait chacun deviner.

Comment lire un communiqué sans le surinterpréter

Quelques formules méritent une traduction. Rapidement stoppée et contenue signifie que l’accès a été coupé une fois découvert, pas que rien n’a été lu avant. Aurait pu être obtenues laisse une marge entre l’accès possible et l’exfiltration prouvée. Certains porteurs exclut une compromission présentée comme totale, sans la quantifier. Fonds intacts porte sur les avoirs, pas sur l’identité.

Lire ainsi n’est pas jouer contre l’entreprise. C’est refuser les deux excès symétriques : le titre qui annonce le vol de toutes les cartes, et le message qui réduit l’affaire à une alerte sans conséquence. Les cartes, au sens des numéros, ne sont pas annoncées volées. Les identités, au sens des dossiers, ont pu l’être. Les deux phrases tiennent ensemble.

Les jours suivants apporteront peut-être un rectificatif, un chiffre, une précision sur les photos ou sur un champ oublié. Tant que ce rectificatif n’existe pas, le périmètre du 8 octobre fait foi. Les rumeurs de CVV en circulation, si elles apparaissent sur des forums, ne remplacent pas ce texte. Elles font même partie du bruit que la coupure des commentaires cherchait à limiter.

Ce que cette affaire dit aux autres applications

Toute équipe qui opère une carte au nom d’une marque crypto devrait relire ses accès d’administration cette semaine, pas par mimétisme médiatique, par similitude de surface. Le dashboard qui cherche un client par nom est une mine. Le compte de prestataire qui y entre encore six mois après la mission est une porte. L’export CSV envoyé par courriel interne est une copie que l’on oublie.

Based aura à expliquer, au-delà du premier message, comment l’accès a été obtenu et comment il ne peut plus l’être. Les clients jugeront sur ce second texte, pas sur la vitesse du premier. Une contenue rapide est le minimum. Une réduction durable des droits, une revue des prestataires, une séparation plus stricte entre images d’identité et champs administratifs, voilà le sujet des prochaines semaines.

Le secteur aime opposer la garde personnelle aux plateformes. L’affaire rappelle une troisième voie, plus banale : l’émetteur de carte. Même un utilisateur prudent, seed hors ligne, peut avoir confié son passeport à un programme de paiement. La prudence sur les clés ne protège pas ce dossier. Il faut une prudence séparée, faite de canaux, de notifications, et de méfiance envers l’urgence.

Un automne chargé pour les données personnelles

Mis bout à bout, les signaux d’octobre forment un tableau peu glorieux. Des identifiants nationaux danois exposés par millions. Des dossiers de santé visés chez un géant technologique, avec près de vingt millions de personnes concernées la semaine précédente. Des protocoles crypto allégés de 1,26 milliard de dollars sur le trimestre. Et, au milieu, une fintech qui confirme un accès à des KYC de carte. Aucune de ces affaires n’explique les autres. Ensemble, elles décrivent une période où l’identité et l’argent circulent trop facilement hors de leurs coffres.

Le lecteur de crypto a parfois l’impression que le risque se limite au smart contract. L’actualité administrative le contredit. Le contrat peut tenir, le solde peut tenir, et le passeport peut quand même sortir par une porte de service. Based offre l’illustration la plus nette de ce dédoublement : wallet épargné, dossier possiblement lu.

Cette distinction devrait entrer dans le vocabulaire courant des porteurs de cartes crypto. Demander où sont les fonds est nécessaire. Demander où est le dossier, qui y accède, et comment l’on sera prévenu, l’est tout autant. Le 8 octobre, une partie des clients Based a reçu la réponse tardive à la seconde question.

À quoi ressemblera la suite probable

La suite la plus probable n’est pas un gel mondial des cartes. C’est une série de messages imitant Based, puis imitant l’émetteur, puis imitant une autorité. Certains seront grossiers. D’autres citeront un prénom et une ville. Les commentaires fermés déplaceront cette activité vers les messages privés et les courriels. Le canal officiel reste le chat de l’application. Tout le reste se traite comme non sollicité.

Une seconde séquence, plus lente, concerne les démarches. Ouverture de compte refusée pour suspicion de doublon. Courrier à une ancienne adresse. Notification d’un service que vous n’avez pas contacté. Ces signaux, s’ils apparaissent, méritent d’être rapprochés de la notification du 8 octobre, sans conclure trop vite. L’identité volée n’est pas toujours utilisée tout de suite. Elle peut dormir.

Based, de son côté, devra maintenir les paiements si elle confirme qu’ils sont sains, répondre dans le chat sans demander de secrets, et publier un point d’étape. Le silence après une alerte nourrit les imitateurs, qui comblent le vide avec de fausses consignes. Parler sans inventer de chiffre est possible. Dire ce qui a été vérifié depuis jeudi l’est aussi.

Le plastique, le passeport, et la mémoire longue

Une carte se remplace. Un CVV se renouvelle avec le plastique. Un PIN se change. Un nom, une date de naissance et un numéro de document restent. C’est pour cela que l’inventaire des éléments épargnés, rassurant sur le paiement, ne clôt pas le dossier. Based a protégé, selon son texte, ce qui sert à payer aujourd’hui. Elle n’a pas pu garantir ce qui sert à vous identifier pendant des années.

Les porteurs concernés entrent donc dans une vigilance de longue durée, plus proche de celle qui suit une perte de papiers que de celle qui suit un débit frauduleux. Rien n’oblige à vivre dans l’alerte permanente. Quelque chose oblige à ne plus traiter un appel inattendu comme anodin, surtout s’il connaît l’adresse.

Les porteurs non concernés ont tout de même une leçon à faible coût. Le programme carte d’une application crypto est un service d’identité autant qu’un service de paiement. Le jour où le dashboard lâche, ce n’est pas le cours qui bouge. C’est le dossier. Based vient d’en faire la démonstration publique, sans que les fonds, eux, aient eu à bouger.

Jeudi 8 octobre, la fintech a choisi de dire le pire scénario sur l’identité et le meilleur sur l’argent. Les deux peuvent être vrais en même temps. C’est même tout l’intérêt de lire le communiqué jusqu’au bout, puis de ne répondre à personne d’autre qu’au chat que l’on ouvre soi-même.