Aller au contenu
BB MeBERTHO-BRIAND

Vol et piratage de portefeuille de cryptomonnaies : accès frauduleux, escroquerie, usurpation d’identité et plainte

Mis à jour le 10 novembre 2026 — état du droit à cette date (textes vérifiés sur une base arrêtée au 6 novembre 2026).

En bref. Lorsque des cryptomonnaies disparaissent d’un compte ou d’un portefeuille sans l’accord de leur titulaire, plusieurs qualifications pénales peuvent entrer en concurrence : l’accès frauduleux à un système de traitement automatisé de données et les atteintes aux données (articles 323-1 et suivants du Code pénal), le vol (article 311-1), l’escroquerie lorsque la victime a été trompée et a elle-même remis les fonds (article 313-1) et l’usurpation d’identité (article 226-4-1). Le choix de la qualification dépend du mode opératoire : un accès à un compte par un tiers n’est pas un transfert consenti sous l’effet d’une tromperie. Cette page présente ces qualifications, les peines, le dépôt de plainte et les éléments à conserver. Elle fait suite à la page détenteurs de cryptomonnaies menacés.

Les qualifications possibles

L’accès frauduleux et les atteintes aux données

  • Accès ou maintien frauduleux dans tout ou partie d’un système de traitement automatisé de données : trois ans d’emprisonnement et 100 000 euros d’amende ; cinq ans et 150 000 euros lorsqu’il en est résulté la suppression ou la modification de données ou une altération du fonctionnement du système (art. 323-1).
  • Entrave ou altération du fonctionnement d’un tel système : cinq ans et 150 000 euros (art. 323-2).
  • Introduction frauduleuse de données, ou extraction, détention, reproduction, transmission, suppression ou modification frauduleuse des données qu’il contient : cinq ans et 150 000 euros (art. 323-3).
  • Bande organisée : dix ans d’emprisonnement et 300 000 euros d’amende pour les infractions des articles 323-1 à 323-3-1 (art. 323-4-1). La tentative de ces délits est punie des mêmes peines (art. 323-7).

Ces textes visent le comportement de celui qui accède sans droit ou agit sur les données. Leur application à un transfert de crypto-actifs opéré depuis un compte ou un portefeuille, par exemple à la suite de la captation d’identifiants, dépend des faits (système concerné, identifiants, moyen d’accès) ; aucune décision de la chambre criminelle appliquant ces articles au détournement de crypto-actifs n’a été trouvée dans la base consultée.

Le vol

Le vol est la soustraction frauduleuse de la chose d’autrui (art. 311-1) ; il est puni de trois ans d’emprisonnement et de 45 000 euros d’amende (art. 311-3). Depuis le 1er juillet 2026, le Code monétaire et financier qualifie les crypto-actifs de « biens incorporels négociables » (art. L. 226-2). La question de savoir si, et dans quels cas, la soustraction de crypto-actifs ou des moyens d’y accéder peut être qualifiée de vol n’a pu être tranchée par une décision de la chambre criminelle (aucune trouvée) : la qualification relève du parquet et de la juridiction, au vu du mode opératoire.

L’escroquerie

L’escroquerie est le fait, par l’usage d’un faux nom ou d’une fausse qualité, l’abus d’une qualité vraie ou l’emploi de manœuvres frauduleuses, de tromper une personne et de la déterminer ainsi, à son préjudice ou à celui d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge ; elle est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (art. 313-1). C’est la qualification en principe retenue lorsque la victime a elle-même effectué le transfert après avoir été trompée (faux site, faux conseiller, faux support). Les peines sont portées à sept ans et 750 000 euros dans plusieurs cas, notamment au préjudice d’une personne dont la particulière vulnérabilité est apparente ou connue de l’auteur, et à dix ans et 1 000 000 euros en bande organisée (art. 313-2). Voir la page escroquerie et arnaques crypto.

L’usurpation d’identité

Le fait d’usurper l’identité d’un tiers ou de faire usage de données de toute nature permettant de l’identifier, en vue de troubler sa tranquillité ou celle d’autrui ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 euros d’amende, y compris lorsqu’il est commis sur un réseau de communication au public en ligne (art. 226-4-1). Cette qualification vise la finalité de troubler la tranquillité ou de porter atteinte à l’honneur ; elle peut accompagner d’autres infractions mais ne suffit pas, en tant que telle, à embrasser tous les cas de prise de contrôle d’un compte.

Comment distinguer ?

  • Un tiers a accédé à votre compte ou à votre portefeuille et déplacé les actifs sans que vous interveniez : accès frauduleux et atteintes aux données (323-1 et suivants) ; vol à examiner.
  • Vous avez effectué le transfert vous-même après un message, un appel ou un site trompeur : escroquerie (313-1), éventuellement avec usurpation d’identité du prestataire ou d’un tiers.
  • Vous avez été menacé pour effectuer le transfert : extorsion ou menaces, voir la page menaces et extorsion.

La qualification retenue au dépôt de plainte n’est pas définitive : elle est appréciée par le parquet, puis par la juridiction.

Porter plainte

Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes, y compris dans un service territorialement incompétent, avec procès-verbal et remise immédiate d’un récépissé mentionnant les délais de prescription (art. 15-3 du Code de procédure pénale) ; le procureur de la République reçoit également les plaintes et dénonciations (art. 40). L’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise (art. 8), sous réserve des règles particulières. Ces articles sont signalés en abrogation différée au 31 décembre 2028 dans la base consultée (ordonnance n° 2025-1091, non lue). Voir la page plainte, procédure et preuves.

Que conserver ?

  1. Les messages, appels, e-mails et pages utilisés pour vous tromper : textes complets, adresses, captures datées du site ou de l’application.
  2. Les traces de l’accès : notifications de connexion ou de modification, courriels de la plateforme, dates et heures.
  3. Les références des transactions concernées : date, montant, adresse de destination, plateforme, identifiants de transaction.
  4. Les échanges avec la plateforme ou le prestataire : signalements, réponses, éventuelle réclamation.

Cette page ne contient aucun conseil technique de sécurisation d’actifs ni de gestion de portefeuille. La responsabilité éventuelle de la plateforme ou du prestataire (civile, contractuelle ou réglementaire) n’est pas étudiée ici.

Le cabinet de Maître BERTHO-BRIAND, situé 41 cours de la Liberté, 69003 Lyon, peut être contacté avec les éléments conservés.

Pour aller plus loin

Questions fréquentes

Mon portefeuille a été vidé : s’agit-il d’un vol ?

Selon le mode opératoire, les faits peuvent relever de l’accès frauduleux à un système de traitement automatisé de données (art. 323-1 et suivants), du vol (art. 311-1) ou de l’escroquerie (art. 313-1). Aucune décision de la chambre criminelle appliquant ces qualifications aux crypto-actifs n’a été trouvée dans la base consultée.

J’ai effectué le transfert moi-même après un faux message : puis-je déposer plainte ?

Oui. L’escroquerie suppose précisément que la victime ait été déterminée par une tromperie à remettre des fonds, des valeurs ou un bien quelconque (art. 313-1).

Que risque l’auteur d’un accès frauduleux ?

Trois ans d’emprisonnement et 100 000 euros d’amende, cinq ans et 150 000 euros en cas de suppression ou de modification de données (art. 323-1) ; dix ans et 300 000 euros en bande organisée (art. 323-4-1).

Quel est le délai pour agir ?

Six ans pour les délits à compter du jour de l’infraction, en principe (art. 8 CPP), sous réserve des règles particulières.

Cet article a une visée exclusivement informative et ne remplace pas l’examen d’une situation individuelle. Pour qu’une situation précise soit étudiée, le cabinet peut être contacté.

Textes cités

Appeler maintenant Me contacter