Imaginez confier toutes vos clés les plus précieuses – celles de vos comptes bancaires, de vos exchanges crypto, de vos portefeuilles hardware – à un seul coffre-fort numérique. Vous pensez qu’il est sécurisé, européen, conforme aux normes les plus strictes. Et si ce coffre-fort avait une porte dérobée reliée directement à un service de renseignement étranger ? C’est précisément le choc que provoque l’enquête explosive publiée ce 17 juillet 2026 autour de Passwork.
Passwork, un scandale qui ébranle la confiance dans les outils de sécurité
Dans le monde de la cryptomonnaie, où la sécurité n’est pas une option mais une condition de survie, la révélation concernant Passwork tombe comme un coup de tonnerre. Présenté comme une solution souveraine made in Europe, ce gestionnaire de mots de passe aurait en réalité des racines profondes en Russie, avec des connexions directes au FSB. Une situation qui interroge profondément les pratiques de cybersécurité dans l’écosystème crypto.
Les utilisateurs crypto, souvent soucieux de protéger leurs actifs numériques, ont adopté massivement les gestionnaires de mots de passe. Pourtant, cette affaire rappelle que derrière une belle interface et des promesses marketing se cachent parfois des réalités géopolitiques inquiétantes. Plongeons dans les détails de cette enquête qui pourrait bien changer la façon dont nous choisissons nos outils de sécurité.
Points clés à retenir immédiatement :
- Passwork se présente comme une solution européenne mais partage son code avec une version russe certifiée FSB.
- Des organismes publics irlandais l’utilisent encore aujourd’hui.
- Les liens avec des développeurs russes n’ont jamais été totalement rompus.
- Les implications pour la sécurité des clés crypto sont majeures.
Les origines russes d’un outil « made in Espagne »
L’histoire commence en 2014 dans la ville portuaire d’Arkhangelsk, en Russie. Deux entrepreneurs locaux déposent les domaines passwork.ru et passwork.pro. Ce dernier deviendra la vitrine européenne du produit. Dès 2017, une structure finlandaise est montée avec l’aide d’un investisseur proche du Kremlin. Les poupées russes s’empilent.
En novembre 2022, une nouvelle société russe voit le jour dans la même ville, ciblant notamment des entreprises sous sanctions occidentales, y compris dans les secteurs de la défense et de l’aérospatial. Le logiciel russe bénéficie d’une certification officielle du FSB et du FSTEC, l’agence de contrôle technique militaire russe. Même base de code, mêmes mises à jour, mêmes manuels : les deux versions sont sœurs jumelles.
La version russe est homologuée par le FSB. Comment un outil certifié par les services de renseignement russes peut-il prétendre à une totale indépendance européenne ?
Aujourd’hui, la société espagnole Passwork Europe, créée en août 2024, revendique une indépendance totale. Pourtant, l’enquête de l’OCCRP, de l’Irish Times et du Monde révèle que le transfert de connaissances vers la Russie n’est toujours pas terminé. Un certain Muntyan a même admis un « transfert limité » jusqu’en août 2026. Le cordon ombilical n’est pas coupé.
Pourquoi cette affaire touche-t-elle directement le secteur crypto ?
Dans l’univers des cryptomonnaies, un gestionnaire de mots de passe n’est pas un simple outil de confort. Il devient souvent le gardien des seed phrases, des clés API d’exchanges, des accès à des portefeuilles institutionnels ou à des solutions de custody. Une compromission potentielle de cet outil représente un risque systémique.
Rappelons que près de 40 % des pertes en cryptomonnaies proviennent d’une mauvaise gestion des clés privées ou d’erreurs humaines liées à la sécurité. Confier ces éléments sensibles à un logiciel dont le code est partagé avec une entité certifiée par le FSB pose une question évidente : vos actifs sont-ils vraiment en sécurité ?
Les risques concrets pour les utilisateurs crypto :
- Accès potentiel à des clés d’API permettant des retraits automatisés.
- Compromission de seed phrases stockées ou générées via le gestionnaire.
- Surveillance possible des habitudes d’utilisation pour des attaques ciblées.
- Perte de confiance dans l’ensemble des outils de sécurité européens.
Le contexte géopolitique et la souveraineté numérique européenne
Cette affaire intervient alors que l’Union européenne multiplie les initiatives de souveraineté technologique. Remplacement de Google par Qwant au Parlement européen, paquets de sanctions contre la Russie, renforcement de MiCA : le discours est fort. Mais la réalité montre que des dépendances invisibles persistent dans les couches les plus critiques des infrastructures numériques.
Passwork n’est malheureusement pas un cas isolé. L’histoire de Crypto AG, entreprise suisse qui vendait des machines de chiffrement truquées pour le compte de la CIA et du BND pendant des décennies, ou le bannissement progressif de Kaspersky aux États-Unis, illustrent la même problématique : la confiance dans les outils de sécurité doit être vérifiée, jamais présumée.
La confiance numérique ne se décrète pas sur une brochure marketing. Elle se mérite par une transparence totale sur l’origine du code et des développeurs.
Quelles alternatives pour protéger ses actifs crypto ?
Face à ces révélations, les équipes de sécurité et les particuliers doivent revoir leurs habitudes. Les gestionnaires de mots de passe open source comme Bitwarden ou KeePass, audités régulièrement par la communauté, offrent une plus grande transparence. Certains utilisateurs avancés préfèrent même des solutions air-gapped, totalement déconnectées d’internet.
Pour les seed phrases, la règle d’or reste de ne jamais les stocker numériquement. Papier, métal gravé, ou méthodes de partage de secret comme Shamir’s Secret Sharing restent les approches les plus sûres. Dans le domaine crypto, la paranoïa mesurée n’est pas un défaut, c’est une compétence.
Les organismes publics irlandais toujours clients
Le plus troublant reste peut-être que des entités étatiques irlandaises, dont le State Laboratory et l’Office of Public Works, continuent d’utiliser Passwork. Alors que l’Europe prône la souveraineté numérique, des administrations publiques font confiance à un outil dont le code est lié à Moscou. Ce paradoxe doit interpeller les décideurs bruxellois.
Combien d’autres institutions ou entreprises crypto utilisent encore ce logiciel sans connaître son histoire réelle ? L’enquête du consortium de journalistes pose la question de la due diligence réelle effectuée avant l’adoption d’outils critiques.
Leçons à tirer pour la communauté crypto
Cette affaire renforce l’importance d’une vigilance permanente. Dans un écosystème où des milliards de dollars sont en jeu, la provenance du code et l’indépendance réelle des développeurs doivent primer sur le marketing. Les audits indépendants, la transparence des contributeurs et l’open source vérifiable deviennent des critères non négociables.
Les utilisateurs doivent également diversifier leurs outils de sécurité. Ne jamais mettre tous ses œufs dans le même panier numérique. Combiner plusieurs solutions, utiliser des hardware wallets pour les gros montants, et maintenir une hygiène de sécurité rigoureuse restent les meilleures protections.
Bonnes pratiques de sécurité crypto à adopter dès aujourd’hui :
- Utiliser des gestionnaires open source audités.
- Stocker les seed phrases hors ligne uniquement.
- Activer l’authentification à facteurs multiples partout.
- Réaliser des audits réguliers de ses outils.
- Éviter de stocker des clés API sensibles dans des gestionnaires cloud.
Vers une nouvelle ère de méfiance constructive ?
Le scandale Passwork n’est pas seulement une histoire de logiciel. Il incarne les tensions géopolitiques qui traversent le numérique mondial. Entre les promesses de souveraineté européenne et les réalités des chaînes d’approvisionnement technologiques, il existe un fossé que les régulateurs vont devoir combler rapidement.
Pour la communauté crypto, habituée à la décentralisation et à la méfiance envers les autorités centrales, cette affaire confirme un principe fondamental : ne faites confiance à personne, vérifiez tout. Vos actifs numériques méritent mieux qu’une sécurité de façade.
Alors que l’enquête continue de faire des vagues, une chose est certaine : les utilisateurs vont désormais scruter avec beaucoup plus d’attention l’origine réelle des outils qu’ils utilisent pour protéger leur richesse numérique. Dans le monde crypto, la vigilance n’est jamais excessive.
Cette révélation arrive à un moment où les attaques cybernétiques contre l’écosystème crypto se multiplient. Les États-nations et les groupes soutenus par des gouvernements jouent un rôle croissant. Dans ce contexte, choisir ses outils de sécurité devient un acte stratégique, presque politique.
Analyse des implications à long terme
Si le code source partagé permet potentiellement au FSB d’avoir une visibilité sur les utilisateurs européens, les conséquences pourraient dépasser le simple vol de données. Il s’agit d’une possible porte d’entrée pour des opérations d’espionnage économique ou de sabotage ciblé contre des infrastructures critiques liées à la blockchain.
Les entreprises de custody, les exchanges et les projets DeFi qui recommandaient ou intégraient Passwork vont devoir communiquer rapidement sur leurs choix et proposer des alternatives. La réputation est un actif fragile dans le monde crypto.
Du côté des développeurs de solutions de sécurité, cette affaire pourrait accélérer l’adoption de pratiques plus strictes en matière de supply chain security. L’idée d’une « Software Bill of Materials » (SBOM) obligatoire pour les outils critiques gagne du terrain.
Le rôle des journalistes d’investigation
Saluons le travail remarquable du consortium OCCRP, de l’Irish Times, de StateWatch et du Monde. Sans leur persévérance, ce lien stratégique serait probablement resté dans l’ombre. Dans un monde numérique de plus en plus opaque, le journalisme d’investigation reste un pilier indispensable de la démocratie et de la sécurité collective.
Leur enquête démontre une fois de plus que les conflits géopolitiques se jouent aussi sur le terrain du code source et des données. La prochaine guerre pourrait bien être silencieuse, menée à travers des backdoors logicielles plutôt que des missiles.
Pour conclure, cette affaire Passwork doit servir d’électrochoc. Elle nous rappelle que dans le domaine de la cybersécurité, particulièrement critique pour les utilisateurs de cryptomonnaies, la prudence et la vérification constante sont essentielles. Vos clés privées valent bien plus que la commodité d’un outil au marketing séduisant.
Restez vigilants, diversifiez vos protections, et n’hésitez jamais à creuser sous la surface marketing des solutions que vous utilisez. Votre portefeuille crypto vous remerciera.
