La période de transition à l'échelle de l'UE pour le règlement sur les marchés des crypto-actifs (MiCA) a expiré le 1er juillet 2026. Depuis cette date, l'Autorité européenne des marchés financiers (ESMA) et l'Autorité des marchés financiers (AMF) française ont toutes deux signalé une augmentation marquée des escroqueries par hameçonnage utilisant de fausses identités de régulateurs pour tromper les investisseurs.

MiCA établit le cadre de licences à l'échelle de l'UE pour les prestataires de services sur crypto-actifs et constitue le premier régime complet et harmonisé pour les crypto-actifs adopté par une grande économie mondiale. Les plateformes d'échange, les courtiers et les dépositaires opérant dans le bloc doivent obtenir une autorisation de prestataire de services sur crypto-actifs (CASP), qui impose des exigences en matière de capital, de conformité et de protection des investisseurs. Les prestataires sans cette licence ne peuvent plus servir de clients de l'UE. La période de transition initiale accordait aux opérateurs existants jusqu'à 18 mois d'exploitation continue, avec des échéances échelonnées entre les États membres. À la fin juillet 2026, le registre de l'ESMA recensait 323 CASP autorisés. Bien que la transition ait été conçue pour apporter une sécurité juridique aux investisseurs, le calendrier comprimé a également créé une nouvelle surface d'attaque importante pour les fraudeurs.

Seules 16 des 100 plus grandes plateformes d'échange détiennent une licence MiCA

L'échéance a considérablement réduit le nombre de prestataires légalement accessibles dans l'UE. Le registre public de l'ESMA détaille chaque autorisation CASP accordée ainsi que le superviseur national responsable. Une fois délivrée par une autorité nationale, une licence s'applique à l'ensemble du marché unique via le mécanisme de passeport européen. De nouvelles autorisations continuent d'arriver chaque semaine, ce qui modifie le nombre total d'inscriptions.

Les départs, cependant, sont bien plus nombreux que les ajouts. Le fournisseur de données VASPnet estime que plus de 1 700 prestataires de services cryptographiques non agréés ont été contraints de cesser de servir des clients de l'UE, bien qu'une confirmation officielle de ce chiffre ne soit pas disponible.

Parmi les plus grandes places de négociation, la densité de licences reste faible. Sur les 100 plateformes d'échange de cryptomonnaies avec le plus fort volume de négociation au niveau mondial, seules 16 détiennent une autorisation MiCA, notamment Coinbase, Kraken, Bybit, OKX, Crypto.com et KuCoin. Au sommet du classement, le ratio est comparativement plus élevé — six des dix plateformes au volume le plus élevé sont titulaires d'une licence. Binance, la plus grande plateforme d'échange au monde par volume de négociation, n'a pas encore reçu de licence MiCA à l'échelle de l'UE. Par conséquent, les prestataires non agréés sont interdits de service des clients de l'UE depuis le mois de juillet, forçant les utilisateurs européens à se réorienter en quelques semaines.

Les échéances nationales échelonnées ont accentué l'incertitude. L'Allemagne a fixé sa date butoir de transition nationale au 31 décembre 2025, soit six mois avant le maximum de l'UE. La France, en revanche, a accordé à ses prestataires les 18 mois complets. Les clients ayant des comptes dans les deux juridictions ont vu leurs plateformes se retirer à des moments différents. Les clients existants ont dû retirer leurs soldes, les transférer vers un prestataire agréé ou les placer en auto-conservation — une situation que les escrocs ont activement exploitée.

Les escroqueries par hameçonnage MiCA usurpent l'identité de l'ESMA et de l'AMF

L'AMF a documenté des cas dans lesquels des auteurs se faisaient passer pour des membres du personnel de l'autorité, demandant aux investisseurs de transférer leurs soldes vers des sites web frauduleux sous prétexte de sécurité. La ruse est particulièrement efficace car de nombreux clients étaient déjà tenus de changer de prestataire. Une fois transférés, les soldes en cryptomonnaies sont presque toujours irrécupérables.

C'est pourquoi le superviseur français s'est abstenu d'imposer une date butoir de fermeture stricte pour les plateformes d'échange non agréées, estimant qu'une exclusion brutale du marché aurait fourni aux escrocs des prétextes supplémentaires. L'ESMA a connu un usage abusif similaire. Dans des déclarations au Financial Times, l'autorité a confirmé que son logo et des documents falsifiés avaient été utilisés sans autorisation. L'ESMA a souligné que les communications officielles proviennent exclusivement d'adresses se terminant par @esma.europa.eu. L'Autorité néerlandaise des marchés financiers (AFM) a également signalé des attaques ciblées contre des consommateurs à la recherche d'alternatives agréées.

Les régulateurs ont identifié plusieurs caractéristiques des communications authentiques. Les autorités de supervision ne demandent jamais de transfert d'actifs et ne facturent aucun frais pour la récupération des fonds perdus. Les fausses échéances ne font pas partie de leurs pratiques habituelles. Les investisseurs peuvent vérifier le statut de licence d'un prestataire directement dans le registre de l'ESMA ou sur le site web de l'AMF. Toute communication créant une pression temporelle doit être considérée avec méfiance.

L'usurpation d'identité a augmenté de plus de 1 400 %

L'augmentation de ces cas a cependant commencé bien avant l'échéance MiCA. Chainalysis, dans son Crypto Crime Report 2026, a évalué les pertes confirmées par fraude on-chain pour 2025 à environ 14 milliards USD. La société d'analyse évalue les flux de paiements sur les blockchains publiques pour le rapport ; en couverture complète, elle projette des pertes totales allant jusqu'à 17 milliards USD. Chainalysis avait initialement rapporté 9,9 milliards USD pour 2024 et a ensuite révisé ce chiffre à 12 milliards USD. D'une année sur l'autre, le total des dommages a augmenté d'environ 17 %.

L'usurpation d'identité a été la catégorie connaissant la croissance la plus rapide. Chainalysis a enregistré une augmentation de plus de 1 400 % sur un an pour ce type de fraude, tandis que le paiement moyen par cas a augmenté de plus de 600 %. Pour l'ensemble des schémas frauduleux, le paiement moyen est passé de 782 USD à 2 764 USD. Ces chiffres concernent le paysage cryptographique mondial en 2025 et non la transition MiCA en particulier, mais ils illustrent à quel point l'usurpation d'une institution est devenue lucrative.

Les techniques d'attaque évoluent également. Scam Sniffer a enregistré des pertes de 6,27 millions USD dues au prétendu hameçonnage de signature en janvier 2026 seulement — une augmentation de 207 % par rapport à décembre 2025. Le nombre de victimes a baissé de 11 % pour s'établir à 4 741 sur la même période. Deux grands investisseurs à eux seuls représentaient 65 % des pertes totales, ce qui indique que les campagnes de masse perdent en importance au fur et à mesure que les attaquants se concentrent sur un petit nombre de cibles fortunées, une pratique que l'industrie appelle le « whale hunting ».

Les investisseurs suisses restent sans protection MiCA

MiCA ne s'applique pas en Suisse. Le pays n'étant membre ni de l'UE ni de l'EEE, l'Autorité fédérale de surveillance des marchés financiers (FINMA) ne peut pas délivrer de licence MiCA. Les investisseurs qui négocient via une plateforme agréée dans l'UE bénéficient toujours des règles de protection des investisseurs du règlement. Cependant, si cette plateforme de l'UE perd ou ne détient pas de licence, la protection disparaît entièrement. Il en va de même pour les sociétés affiliées et les prestataires basés en dehors de l'Union. L'AMF a souligné ce point dans sa déclaration de juin, en notant que les clients suisses supportent seuls le risque dans ces cas.

Plusieurs entreprises cryptographiques suisses ont obtenu un accès au marché de l'UE par le biais de filiales. Crypto Finance a reçu une licence CASP de la part du BaFin allemand en janvier 2025, devenant la première entreprise à le faire. AMINA Bank a ensuite obtenu une autorisation via le FMA autrichien, tandis que Relai et SwissBorg ont été agréés via l'AMF française. Swissquote a obtenu son autorisation en avril 2026 auprès du CSSF luxembourgeois. RuleMatch, Bitcoin Suisse et Sygnum Bank ont reçu leurs approbations en juin 2026 au Liechtenstein. Au total, ces huit licences sont réparties entre cinq autorités de supervision.

La Suisse n'a pas d'équivalent direct à la transition MiCA. La FINMA maintient néanmoins une liste d'avertissement des prestataires qui laissent faussement entendre qu'ils détiennent une licence. La liste est basée sur des signalements et les propres enquêtes de la FINMA et n'est donc pas exhaustive. Elle sert d'outil de vérification complémentaire mais ne remplace pas le registre officiel des autorisations. L'Office fédéral de la cybersécurité suisse a enregistré près de 65 000 signalements en 2025, dont environ 19 % concernaient l'hameçonnage. Au deuxième semestre 2025, 6 299 signalements d'hameçonnage ont été déposés — une augmentation de 17 % par rapport à l'année précédente. L'office ne détaille pas combien de ces cas impliquaient des investisseurs en cryptomonnaies.