Faille de wallet : l’Europe exige une alerte en 24 heures

Depuis le 11 septembre 2026, tout fabricant qui vend un portefeuille crypto dans l’Union européenne doit signaler une faille de wallet activement exploitée en moins de 24 heures. L’obligation vient du Cyber Resilience Act et s’applique aussi bien aux boîtiers matériels qu’aux applications logicielles. Le non-respect expose à une amende pouvant atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.

Pour résumer

• Alerte précoce sous 24 heures, notification complète sous 72 heures, rapport final sous 14 jours.
• Une faille de wallet non signalée peut coûter 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.
• Les fabricants hors UE sont concernés dès lors que leur produit est vendu sur le marché européen.

Bruxelles met les fabricants de portefeuilles sous chronomètre

Le règlement européen sur la cyberrésilience est entré en vigueur le 10 décembre 2024, mais ses obligations de signalement ne sont devenues contraignantes que le 11 septembre 2026. Le texte publié au Journal officiel de l’Union européenne couvre l’ensemble des « produits comportant des éléments numériques » mis à disposition sur le marché européen, catégorie dans laquelle tombent aussi bien un boîtier de stockage à froid qu’une extension de navigateur.

Le compte à rebours d’une faille de wallet part du moment où le fabricant prend connaissance du problème. Dans les 24 heures, une alerte précoce doit être déposée auprès de l’ENISA et du centre national de réponse aux incidents, via la plateforme unique de signalement gérée par l’agence européenne. Une notification détaillée suit sous 72 heures. Le rapport final intervient 14 jours après la mise à disposition de mesures correctives, et dans le mois pour les incidents les plus graves.

Le calendrier complet s’étale encore sur quinze mois. Les exigences de sécurité dès la conception et les obligations de certification, elles, ne s’appliqueront qu’au 11 décembre 2027, selon le calendrier d’application que détaille la Commission européenne. Le législateur a donc fait tomber la transparence sur les incidents avant les obligations techniques, dans l’ordre inverse de ce que réclamait une partie de l’industrie. Cette priorité donnée à la lisibilité du risque n’est pas neuve à Bruxelles : la BCE avait construit sa position sur les stablecoins multi-émission sur le même raisonnement, sans attendre un incident précis.

Le texte prolonge une séquence réglementaire que l’écosystème européen encaisse depuis deux ans. Le régime MiCA avait déjà poussé une partie des détenteurs vers l’auto-conservation, au point que 70 % des fonds retirés des plateformes visées sont partis vers des portefeuilles personnels. Ces mêmes portefeuilles entrent aujourd’hui dans le champ d’un second règlement, ce qui referme la parenthèse : l’auto-conservation cesse d’être un angle mort réglementaire.

Une faille de wallet coûte désormais 15 millions d’euros au maximum

Le barème de sanctions est celui des grands règlements européens. Taire une faille de wallet et manquer aux articles 13 et 14, qui portent sur les obligations des fabricants et le traitement des vulnérabilités, expose à une amende administrative plafonnée à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé des deux étant retenu. Transmettre des informations incorrectes, incomplètes ou trompeuses relève d’un plafond distinct, fixé à 5 millions d’euros.

Ces montants ne sont pas théoriques. La première amende MiCA infligée à Bitpanda par le régulateur autrichien a montré que les autorités nationales n’attendent pas la fin d’une période de tolérance pour sanctionner. Le même schéma peut se reproduire ici, avec une différence de taille : le déclencheur n’est plus un défaut de licence mais un délai manqué, donc un fait horodaté que le régulateur constate sans avoir à qualifier quoi que ce soit.

Une dérogation existe pour les micro et petites entreprises, qui échappent aux amendes attachées spécifiquement au délai de 24 heures. L’obligation de déclarer une faille de wallet, elle, demeure entière pour elles. Les structures de taille moyenne et les grands fabricants ne bénéficient d’aucun aménagement.

La portée géographique est le point que beaucoup d’acteurs sous-estiment. Le règlement suit le produit jusque sur le marché où il est proposé, quel que soit le pays du siège social. Une société domiciliée à Singapour, en Suisse ou dans le Delaware tombe sous le régime européen dès lors que son portefeuille est disponible sur le marché de l’Union. C’est la même logique d’extraterritorialité qui avait contraint les plateformes à revoir leur présence européenne, comme Binance France quand l’agrément MiCA n’a pas été obtenu à l’échéance du 1er juillet.

À voir également sur Cryptonomic :

• L’ETF Zcash fait entrer ZEC dans le top 10
• Fiscalité crypto : l’Allemagne taxe 25 % dès 2027
• 263 000 tokens Solana ont été créés en une journée

Ce que les détenteurs de Ledger et de Trezor verront changer

Pour l’utilisateur final, le changement est d’abord un changement de tempo. Jusqu’ici, une faille de wallet pouvait être découverte, corrigée en silence, puis annoncée une fois le correctif déployé. Le nouveau régime rend cette séquence illégale dès lors que la vulnérabilité est activement exploitée. Le signalement va d’abord au régulateur, mais le texte impose aussi d’informer les utilisateurs concernés et de leur indiquer les mesures d’atténuation disponibles.

Le contexte immédiat explique la sensibilité du sujet. Les brèches ayant touché les prestataires de Trezor et de BitBox ont rappelé qu’une compromission ne vise pas forcément les clés privées : elle peut passer par un sous-traitant, une base de données clients ou un canal d’emailing, et servir ensuite à des campagnes ciblées. Le délai de 24 heures attaque précisément cette fenêtre, celle pendant laquelle un attaquant exploite une information que les victimes n’ont pas encore.

Reste la question du volume. Chaque faille de wallet déclarée dans l’urgence produit une annonce publique de plus, donc plus de bruit, et il faudra distinguer l’incident sérieux de la vulnérabilité théorique. Un utilisateur qui reçoit quatre alertes par trimestre finit par n’en lire aucune, ce qui retournerait l’objectif du texte contre lui.

À moyen terme, l’effet le plus probable porte sur la structure du marché européen des portefeuilles. Se conformer coûte : il faut une équipe capable de qualifier une vulnérabilité en quelques heures, une procédure de dépôt auprès de l’ENISA et un suivi documenté. Les petits fabricants indépendants risquent de reculer devant la charge, pendant que les acteurs établis en feront un argument commercial. Le débat ouvert au Parlement britannique sur l’accès bancaire des acteurs crypto montre que cette concentration par la conformité n’est pas propre à l’Union.

Affaire à suivre sur Cryptonomic.