Intrusion confirmée au fisc, crypto-enlèvements en série, registre des wallets écarté in extremis : l'année 2026 impose de repenser la transparence.
Le 13 août 2026, le ministère de l'Économie et des Finances a confirmé qu'un accès illégitime au système d'information de la Direction générale des Finances publiques (DGFiP), intervenu fin juin après une usurpation d'identité, a permis la consultation et l'extraction de données concernant des particuliers et des professionnels. La veille, un acteur malveillant revendiquait sur un forum spécialisé la détention des données fiscales de plus de 678 000 contribuables, chiffre que l'administration n'a pas confirmé. Trois mois plus tôt, le Parlement renonçait, en commission mixte paritaire, à créer une obligation de déclaration annuelle des portefeuilles de crypto-actifs auto-hébergés.
La coïncidence de ces deux séquences n'est pas anecdotique. Elle pose une question que la fiscalité française ne peut plus éluder : dans quelle mesure la centralisation croissante des données patrimoniales entre les mains de l'administration, alimentée par les obligations déclaratives nationales et par l'échange automatique international, peut-elle être étendue aux crypto-actifs alors que la sécurité de ces données n'est pas garantie et que leur compromission expose désormais les contribuables à un risque qui n'est plus seulement fiscal, mais physique ?
Pour y répondre, il faut d'abord mesurer ce que l'administration sait déjà du patrimoine crypto des résidents français (I), puis confronter cette accumulation de données aux faits de l'année 2026, intrusions dans le système d'information du fisc et vague d'enlèvements ciblant les détenteurs de crypto-actifs (II), avant d'analyser l'épisode législatif du registre des portefeuilles auto-hébergés et d'exposer notre position sur les conditions auxquelles toute extension future devrait être subordonnée (III).
I. Ce que l'administration fiscale sait déjà du patrimoine crypto
A. Les obligations déclaratives en vigueur : les portefeuilles étrangers
Une obligation ancienne, un périmètre récemment réécrit. Depuis sa version en vigueur au 1er juillet 2026, l'article 1649 bis C du code général des impôts impose aux personnes et entités domiciliées ou établies en France de déclarer, en même temps que leur déclaration de revenus ou de résultats, les références des portefeuilles de crypto-actifs (crypto-asset wallets) soumis au règlement européen sur les marchés de crypto-actifs, dit MiCA (règlement (UE) 2023/1114 du 31 mai 2023), ouverts, détenus, utilisés ou clos auprès d'entreprises, personnes morales, institutions ou organismes établis à l'étranger, ainsi que les crypto-actifs uniques et non fongibles détenus ou utilisés à l'étranger (CGI, art. 1649 bis C). Le critère déterminant demeure l'existence d'un intermédiaire étranger : une plateforme d'échange, un conservateur, un prestataire de services sur crypto-actifs établi hors de France.
Il faut le dire nettement, car la confusion est répandue jusque dans la presse : le portefeuille auto-hébergé (self-custody wallet), celui dont l'utilisateur contrôle directement les clés privées sans recourir à aucun prestataire, n'entre pas dans le champ de cette obligation. Ni un portefeuille matériel conservé chez soi, ni un portefeuille logiciel décentralisé ne sont, en l'état du droit, soumis à déclaration en tant que tels. Ce périmètre a failli changer au printemps 2026 ; nous y revenons en troisième partie. En revanche, tout compte ou portefeuille ouvert auprès d'une plateforme étrangère, même dormant, même clos en cours d'année, doit être déclaré, et la pratique montre que ce point est massivement ignoré des contribuables.
Des sanctions dissuasives par accumulation. Le défaut de déclaration est sanctionné par une amende de 750 euros par portefeuille ou par crypto-actif unique et non fongible non déclaré, et de 125 euros par omission ou inexactitude, dans la limite de 10 000 euros par déclaration ; ces montants sont portés respectivement à 1 500 euros et 250 euros lorsque la valeur vénale des portefeuilles ou actifs concernés excède 50 000 euros à un moment quelconque de l'année (CGI, art. 1736, X). Un contribuable détenant des comptes sur trois plateformes étrangères depuis quatre ans s'expose ainsi, par le seul jeu des amendes déclaratives et avant toute discussion sur l'imposition des gains, à plusieurs milliers d'euros de pénalités. La régularisation spontanée, avant toute demande de l'administration, reste dans la quasi-totalité des cas la stratégie rationnelle.
B. DAC8 et CARF : le changement d'échelle de l'échange automatique
Ce que le contribuable ne déclare pas, son prestataire le déclarera. La directive (UE) 2023/2226 du Conseil du 17 octobre 2023, huitième révision de la directive sur la coopération administrative et connue sous le nom de DAC8, étend l'échange automatique d'informations (automatic exchange of information) aux crypto-actifs. Transposée en France par la loi de finances pour 2025, qui a inséré les articles 1649 AC bis à 1649 AC sexies dans le code général des impôts, elle impose aux prestataires de services sur crypto-actifs, y compris ceux établis hors de l'Union lorsqu'ils servent des résidents européens, de collecter, vérifier et déclarer l'identité complète de leurs utilisateurs et le détail de leurs opérations. Les obligations s'appliquent aux transactions réalisées depuis le 1er janvier 2026, pour une première transmission aux administrations fiscales début 2027, selon des modalités précisées par décret fin 2025.
Le dispositif s'inscrit dans le cadre international élaboré par l'OCDE, le Crypto-Asset Reporting Framework (CARF), auquel plusieurs dizaines de juridictions ont adhéré. Le manquement du prestataire à ses obligations déclaratives est lui-même sanctionné en France par une amende de 15 euros par transaction non déclarée ou inexacte, plafonnée à deux millions d'euros par prestataire et par année (CGI, art. 1736, 6). Autrement dit, l'ère de l'invisibilité des avoirs détenus via des plateformes est close : l'administration française recevra, de manière automatique et récurrente, l'identité, la résidence fiscale et la valorisation des portefeuilles de ses résidents détenus auprès de prestataires régulés, en Europe et au-delà.
La conséquence mérite d'être formulée sans détour. Entre les déclarations des contribuables (revenus, comptes et portefeuilles étrangers, immobilier, impôt sur la fortune immobilière) et les flux entrants de l'échange automatique (norme commune de déclaration pour les comptes financiers, DAC8 et CARF pour les crypto-actifs), l'administration fiscale française concentre désormais l'une des cartographies patrimoniales les plus complètes au monde. Cette concentration est un choix de politique publique parfaitement défendable au regard de la lutte contre la fraude. Mais elle emporte une contrepartie que le débat public a longtemps ignorée : chaque donnée collectée est aussi une donnée à protéger, et la valeur de la base pour un attaquant croît exactement au même rythme que son utilité pour le contrôle fiscal.
II. Des bases de données vulnérables, des contribuables exposés
A. Les intrusions de 2026 dans le système d'information du fisc
Distinguer le confirmé du revendiqué. La rigueur impose de séparer deux niveaux d'information dans l'affaire rendue publique le 13 août 2026. Est confirmé par le communiqué du ministère de l'Économie et des Finances : un accès illégitime au système d'information de la DGFiP, intervenu fin juin 2026 après une usurpation d'identité, ayant permis la consultation et l'extraction de données concernant des particuliers et des professionnels ; l'administration précise que les espaces personnels du site impots.gouv.fr n'ont pas été compromis, que les accès en cause ont été coupés et que les usagers concernés recevront une information individuelle. Relève en revanche de la seule revendication de l'attaquant, non confirmée à ce jour : le chiffre de 678 438 personnes concernées, la mise en vente du fichier, et une seconde fuite alléguée portant sur près de deux millions de propriétaires immobiliers. Selon la presse, les données extraites incluraient des éléments aussi sensibles que la composition du foyer, le taux d'imposition et le revenu fiscal de référence.
Cet épisode n'est pas isolé. La presse spécialisée rapporte qu'un précédent incident, confirmé par l'administration, était déjà survenu entre fin janvier et mi-février 2026 : des identifiants compromis d'un agent avaient permis d'accéder à un fichier national sensible. Deux compromissions confirmées en une année civile, sur des systèmes qui concentrent les données patrimoniales de dizaines de millions de foyers, ne peuvent plus être traitées comme des accidents périphériques. Elles établissent un fait structurel : la promesse implicite qui fonde le consentement aux obligations déclaratives, à savoir que l'État protège ce qu'il collecte, n'est aujourd'hui pas tenue au niveau d'exigence que la sensibilité des données requiert.
B. Du fichier à la porte du domicile : le risque n'est plus seulement fiscal
Une criminalité qui cible les détenteurs, pas les systèmes. La France connaît depuis 2024 une vague sans équivalent mondial d'enlèvements, séquestrations et extorsions visant les détenteurs de crypto-actifs, que le milieu désigne sous le terme d'attaques physiques (wrench attacks). Le 30 juin 2026, le ministre de l'Intérieur chiffrait publiquement à 77 les faits recensés depuis le début de l'année, contre 45 sur l'ensemble de 2025 et une trentaine en 2024. L'enlèvement, en janvier 2025, du cofondateur d'une société française de portefeuilles matériels, mutilé pour appuyer une demande de rançon, a marqué la prise de conscience ; depuis, les familles des détenteurs, conjoints et enfants compris, sont directement visées, pour des rançons exigées en cryptomonnaies et fréquemment comprises entre plusieurs centaines de milliers et plus d'un million d'euros.
Le mode opératoire décrit par les enquêteurs est constant et il éclaire directement notre sujet : vol ou acquisition de données, repérage précis des cibles identifiées comme fortunées en actifs numériques, puis passage à l'acte physique. La matière première de cette criminalité n'est pas la faille technique d'une blockchain, qui n'est presque jamais attaquée ; c'est l'information nominative sur qui détient quoi. Fuites de bases clients de plateformes et de fabricants de portefeuilles, données d'expédition, exposition sur les réseaux sociaux : chaque fichier reliant une identité, une adresse et une détention de crypto-actifs est, pour ces réseaux, un instrument de ciblage. Un fichier fiscal national recensant les détenteurs, leurs adresses et la valorisation de leurs portefeuilles serait, dans cette économie criminelle, l'actif le plus précieux qui puisse exister.
C'est ici que les deux séries de faits de 2026 se rejoignent et que l'analyse juridique doit intégrer une donnée nouvelle. Lorsque la compromission d'une base fiscale expose le contribuable à un redressement, le préjudice est patrimonial et réparable. Lorsqu'elle l'expose à un enlèvement, le préjudice change de nature. Le standard de sécurité exigible de l'État détenteur de données patrimoniales doit être apprécié à l'aune de ce risque, et non plus seulement au regard du droit de la protection des données. Cette exigence, les contribuables sont fondés à l'opposer à toute extension du périmètre collecté.
III. Le registre des wallets auto-hébergés : une fausse bonne idée
A. De la recommandation du Conseil des prélèvements obligatoires à l'abandon en commission mixte paritaire
Un aller-retour législatif éclair. En décembre 2025, le Conseil des prélèvements obligatoires, organisme associé à la Cour des comptes, recommandait dans un rapport sur la fiscalité du patrimoine de compléter DAC8 par une obligation de déclaration portant sur les portefeuilles auto-hébergés détenus par les résidents. Le 9 décembre 2025, un amendement en ce sens était adopté en commission des finances de l'Assemblée nationale dans le cadre du projet de loi relatif à la lutte contre les fraudes sociales et fiscales. Devenu l'article 3 quater du texte, le dispositif imposait aux détenteurs de portefeuilles d'actifs numériques auto-hébergés, gérés sans recours à un prestataire, de notifier chaque année à l'administration fiscale la valeur vénale de leur portefeuille dès lors qu'elle excédait 5 000 euros. L'Assemblée nationale l'a adopté en première lecture début avril 2026. Le 28 avril 2026, la commission mixte paritaire a écarté l'article, qui n'a pas été retenu dans le texte final.
Les arguments qui ont emporté la décision méritent d'être relevés, car ils rejoignent précisément l'analyse développée ci-dessus. Au-delà de la critique de principe, transformer l'auto-conservation en zone de suspicion permanente alors qu'elle est la modalité de détention la plus conforme à la nature même de ces actifs, c'est l'argument de sécurité qui a pesé : un fichier recensant les détenteurs de crypto-actifs constitue une cible, non seulement pour des attaquants informatiques, mais pour des réseaux criminels recherchant des profils solvables, localisables et vulnérables. Quatre mois plus tard, la confirmation d'une extraction de données au sein même de la DGFiP donne à cet argument une force que ses promoteurs eux-mêmes n'imaginaient sans doute pas.
B. Notre position : pas d'extension du périmètre sans obligation de résultat sur la sécurité
Une utilité marginale faible pour un risque maximal. Notre conviction est que le registre des portefeuilles auto-hébergés cumulait les défauts. Son utilité de contrôle était marginale : une obligation purement déclarative portant sur des actifs dont l'administration ne peut vérifier ni l'existence ni la valorisation ne capture que les contribuables de bonne foi, tandis que DAC8 et le CARF couvrent déjà les points de passage réellement contrôlables, à savoir les prestataires, par lesquels transitent tôt ou tard les conversions en monnaie ayant cours légal. Son risque, lui, était maximal : la constitution du premier fichier d'État recensant nominativement les détenteurs d'actifs dont la soustraction peut être obtenue par la contrainte physique, dans le pays qui concentre déjà, selon les données policières rapportées par la presse, la majorité des attaques physiques mondiales contre les détenteurs de crypto-actifs. Le Parlement a eu raison de renoncer.
Le débat reviendra pourtant, et il faut s'y préparer. La recommandation du Conseil des prélèvements obligatoires demeure sur la table, la dynamique européenne de lutte contre le blanchiment pourrait relancer la question à l'échelle de l'Union, et la tentation budgétaire de combler les angles morts de la fiscalité crypto ne disparaîtra pas. Notre position pour ce débat à venir est la suivante : aucune extension du périmètre déclaratif patrimonial ne devrait être adoptée sans que la loi impose corrélativement à l'État détenteur une véritable obligation de résultat en matière de sécurité, comportant au minimum la minimisation des données collectées au strict nécessaire du contrôle, le cloisonnement et le chiffrement des bases patrimoniales, la journalisation et la détection des accès anormaux, la notification rapide et individuelle des personnes en cas de compromission, et un régime de responsabilité de l'État à la hauteur des préjudices, y compris physiques, que l'exposition de ces données peut causer. La transparence est un contrat : elle ne peut être exigée d'un côté que si la protection est garantie de l'autre.
La critique n'exonère de rien. Un point doit être exprimé sans la moindre ambiguïté, parce qu'il sépare la critique constructive de la complaisance : l'état du droit s'impose intégralement. Les portefeuilles détenus auprès de prestataires étrangers doivent être déclarés (CGI, art. 1649 bis C), les gains imposables doivent l'être, et l'échange automatique rendra les omissions de plus en plus rapidement détectables. Le contribuable qui tirerait de la fragilité des systèmes de l'État une justification pour ne pas déclarer commettrait une double erreur, juridique et stratégique : les amendes de l'article 1736, X du CGI s'appliquent par portefeuille et par année, et la position de négociation d'un contribuable régularisé spontanément est sans commune mesure avec celle d'un contribuable rattrapé par un flux DAC8. Le plaidoyer pour un État plus sûr se mène par la voie du débat public et, le cas échéant, du contentieux ; jamais par l'inexécution.
Conclusion
L'année 2026 aura offert, en quatre mois, une démonstration complète : un Parlement qui écarte la création d'un registre des portefeuilles auto-hébergés au nom du risque de fichier-cible, une administration fiscale qui confirme l'extraction de données patrimoniales de son propre système d'information, et une criminalité qui convertit les fichiers en repérages et les repérages en enlèvements. Ces faits ne condamnent pas la transparence fiscale, qui demeure un objectif légitime et un engagement international de la France ; ils en révèlent la condition de validité.
Notre conviction est que la donnée patrimoniale doit désormais être traitée par l'État comme il exige des contribuables qu'ils traitent leurs obligations : avec une responsabilité pleine et sanctionnable. Tant que la sécurité des bases fiscales relèvera de l'engagement de moyens et non d'une obligation de résultat, toute extension du périmètre collecté, en particulier vers les portefeuilles auto-hébergés, devra être combattue, et elle le sera avec des arguments que les faits de 2026 ont rendus difficilement réfutables.
Pour les détenteurs de crypto-actifs, la recommandation est double et immédiate. Sur le terrain déclaratif, vérifier sans attendre la conformité de sa situation : recensement des portefeuilles et comptes ouverts auprès de prestataires étrangers, dépôt des déclarations omises, régularisation spontanée le cas échéant, avant que les premiers flux DAC8 ne parviennent à l'administration début 2027. Sur le terrain de la sécurité, réduire son exposition informationnelle : discrétion publique sur les détentions, dissociation des adresses de livraison et de résidence, dispositifs de temporisation des transferts. Un audit déclaratif conduit en amont coûte une fraction des amendes, des majorations et des risques qu'il neutralise.
Questions fréquentes
Dois-je déclarer mon portefeuille crypto en self-custody (Ledger, portefeuille logiciel) au fisc français ?
Non, pas en tant que tel en l'état du droit en août 2026. L'obligation déclarative de l'article 1649 bis C du CGI vise les portefeuilles ouverts, détenus, utilisés ou clos auprès d'organismes établis à l'étranger, c'est-à-dire impliquant un prestataire. Le projet d'obligation annuelle de déclaration des portefeuilles auto-hébergés au-delà de 5 000 euros, voté par l'Assemblée nationale en avril 2026, a été écarté par la commission mixte paritaire le 28 avril 2026. Les gains imposables réalisés via un portefeuille auto-hébergé doivent en revanche être déclarés, et le débat sur un registre pourrait revenir.
Quelles sanctions si je n'ai pas déclaré un compte ou portefeuille crypto ouvert sur une plateforme étrangère ?
L'amende est de 750 euros par portefeuille non déclaré et de 125 euros par omission ou inexactitude, dans la limite de 10 000 euros par déclaration ; ces montants sont portés à 1 500 euros et 250 euros lorsque la valeur des portefeuilles concernés a dépassé 50 000 euros à un moment quelconque de l'année (CGI, art. 1736, X). Ces amendes s'appliquent année par année et s'ajoutent aux rappels d'impôt et majorations sur les gains non déclarés. Une régularisation spontanée, avant toute demande de l'administration, place le contribuable dans une position incomparablement plus favorable.
Mes données fiscales ont-elles fuité lors du piratage de la DGFiP et que puis-je faire ?
L'administration a confirmé le 13 août 2026 un accès illégitime ayant permis l'extraction de données de particuliers et de professionnels, et s'est engagée à informer individuellement chaque usager concerné en précisant les données touchées. Le chiffre de plus de 678 000 contribuables provient de la revendication de l'attaquant et n'est pas confirmé. Si vous êtes notifié, renforcez immédiatement la vigilance contre l'hameçonnage ciblé et l'usurpation d'identité, et conservez la notification : elle documentera un éventuel préjudice. Les détenteurs de crypto-actifs doivent redoubler de prudence, les données patrimoniales servant au ciblage d'attaques physiques.
Que transmettent les plateformes crypto à l'administration fiscale depuis 2026 (DAC8) ?
Depuis le 1er janvier 2026, en application de la directive (UE) 2023/2226 dite DAC8, transposée aux articles 1649 AC bis et suivants du CGI, les prestataires de services sur crypto-actifs collectent et déclarent l'identité complète de leurs utilisateurs, leur résidence fiscale et le détail de leurs transactions, y compris lorsque le prestataire est établi hors de l'Union européenne mais sert des résidents européens. Les premières transmissions aux administrations interviennent début 2027 et alimentent l'échange automatique entre États. Les avoirs détenus via des plateformes ne sont donc plus invisibles pour le fisc français.