MiCA : 1 062 prestataires crypto de l’EEE sans autorisation après le 1er juillet — et une nouvelle vague d’arnaques

Cette nuance explique les écarts entre les estimations publiées. Des articles ultérieurs ont évoqué plus de 1 700 plateformes non autorisées, 323 entreprises autorisées et environ 10 millions d’utilisateurs susceptibles de devoir transférer leurs actifs. Ces nombres proviennent de sources et de méthodes de comptage différentes : ils doivent être considérés comme des estimations, et non comme un décompte officiel de l’ESMA des fermetures achevées ou des utilisateurs ayant effectivement déplacé leurs fonds.

La conclusion la plus solide est que MiCA a fortement réduit le nombre de prestataires pouvant continuer à servir légalement le marché européen dans le cadre des anciens régimes nationaux. Les données disponibles ne permettent pas d’affirmer que chaque entreprise non autorisée avait déjà cessé toute activité, ni que chaque utilisateur concerné avait terminé sa migration.

Pourquoi cette transition a facilité les arnaques

La situation a fourni aux fraudeurs un prétexte particulièrement crédible pour contacter les clients : une plateforme pouvait réellement demander à ses utilisateurs de retirer leurs fonds ou de les transférer vers un autre prestataire.

Les escrocs peuvent ainsi se faire passer pour une plateforme connue, l’ESMA, un régulateur national ou un partenaire de migration. Leurs messages invitent généralement la victime à « vérifier » son compte, déplacer ses actifs, débloquer un portefeuille ou retirer ses fonds avant une prétendue échéance.

Des régulateurs européens ont signalé une hausse des arnaques par usurpation après le 1er juillet. Les méthodes observées comprennent de faux avis de régulateurs, de faux documents d’autorisation, des sites clonés et des messages redirigeant les utilisateurs vers des plateformes frauduleuses.

Le piège est d’autant plus efficace qu’une demande de migration peut être parfaitement légitime. Le fait qu’une réforme réglementaire soit réelle ne rend pas fiable un lien reçu sans avoir été sollicité. Tout message doit être considéré comme douteux jusqu’à vérification via un canal officiel connu.

Quelles grandes plateformes étaient présentées comme autorisées ?

Parmi les exemples rapportés de grandes plateformes disposant d’autorisations MiCA figurent Coinbase, Kraken, OKX, Crypto.com, Bitstamp et Bitpanda. Leurs autorisations ont été obtenues dans des États membres précis, le cadre MiCA permettant ensuite aux prestataires autorisés d’offrir les services couverts dans le marché unique grâce au « passeport » européen.

Cette liste ne dispense pas d’une vérification dans le registre officiel. L’autorisation est accordée à une entité juridique précise et peut ne concerner que certains services. L’ESMA recommande donc de contrôler à la fois le statut du prestataire et l’étendue exacte de ses permissions.

Binance ne disposait pas d’une autorisation MiCA équivalente à la date du 1er juillet. Ses activités européennes ne pouvaient donc pas s’appuyer sur un passeport MiCA valable dans toute l’Union. Selon les informations disponibles, la plateforme devait cesser de proposer les nouveaux services concernés tout en organisant la fermeture ordonnée des positions de ses utilisateurs.

Les sources disponibles ne fournissent pas d’éléments suffisamment fiables pour citer des banques précises qui auraient « obtenu une autorisation MiCA ». La question nécessite en outre une distinction importante : certaines entités financières peuvent proposer des services sur crypto-actifs via la procédure de notification prévue par MiCA, sans détenir la même autorisation CASP autonome qu’une plateforme d’échange.

Ce que MiCA change par rapport à l’ancien système

Avant la fin de la transition, les entreprises éligibles qui exerçaient légalement sous des régimes nationaux pouvaient continuer temporairement leurs activités tout en demandant une autorisation MiCA. Ces régimes étaient fragmentés selon les pays. MiCA instaure un cadre commun d’autorisation et de supervision pour les prestataires de services sur crypto-actifs.

Le règlement prévoit notamment :

• Autorisation et supervision : les prestataires doivent être autorisés ou relever d’une procédure de notification applicable avant de proposer les services concernés.
• Gouvernance et garanties prudentielles : MiCA impose des exigences organisationnelles, de gouvernance et de solidité financière. Les exigences de capital varient selon le service et peuvent aussi être liées aux frais généraux fixes.
• Protection des actifs des clients : le règlement encadre la conservation des crypto-actifs et des fonds appartenant aux clients.
• Registres et réclamations : les prestataires doivent conserver des informations sur leurs activités et mettre en place des procédures de traitement des réclamations.
• Transparence et règles de marché : MiCA fixe des obligations de transparence, d’information, d’autorisation et de supervision concernant l’émission et la négociation de crypto-actifs, notamment les jetons référencés sur des actifs et les jetons de monnaie électronique.

Une autorisation MiCA renforce la supervision réglementaire, mais elle ne garantit pas l’absence de pertes, de volatilité, de piratage, de défaillance opérationnelle ou de fraude.

Comment vérifier un prestataire et protéger ses actifs

1. Identifiez l’entité juridique exacte. Ne vous fiez pas uniquement au nom commercial, à une application ou à une annonce dans un moteur de recherche. Recherchez l’entreprise dans le registre de l’ESMA et vérifiez que ses permissions couvrent le service utilisé et votre pays. Consultez également la liste noire du régulateur national compétent.

2. Passez par un canal connu. Saisissez vous-même l’adresse officielle de la plateforme ou ouvrez son application vérifiée. N’utilisez pas les liens, QR codes, numéros de téléphone ou pièces jointes reçus dans un e-mail, un SMS, une publication sur les réseaux sociaux ou un message privé non sollicité.

3. Refusez de communiquer vos informations secrètes. Aucun régulateur ni aucune plateforme légitime n’a besoin de votre phrase de récupération, de votre clé privée, de votre mot de passe ou de votre code d’authentification à usage unique pour migrer un compte.

4. Confirmez les instructions de transfert indépendamment. Vérifiez l’adresse de destination et le réseau via un canal fiable. Lorsque c’est possible, commencez par une petite transaction de test et conservez les justificatifs correspondants.

5. Vérifiez les services réellement proposés. Avant de déplacer un solde, assurez-vous que vos actifs, paires de négociation, modalités de conservation et options de retrait seront bien pris en charge par le nouveau prestataire.

6. Limitez les sommes conservées sur une plateforme. Sur une plateforme centralisée, ne gardez que le montant nécessaire à vos opérations. Pour une conservation à long terme, protégez les éléments de récupération hors ligne et prévoyez une sauvegarde testée.

La leçon principale de l’échéance MiCA n’est pas seulement que de nombreuses entreprises ont perdu la possibilité de servir les clients européens. C’est aussi qu’une transition réglementaire bien réelle peut créer un terrain idéal pour l’hameçonnage. Avant de déplacer le moindre actif, vérifiez séparément l’identité juridique du prestataire et l’authenticité du message.