Que devient votre pièce d'identité après le KYC : le bilan des fuites de 2026

Tous les autres guides de ce site répondent à la question du comment : comment acheter du Bitcoin, comment acheter du Monero, comment la dépenser et comment la vendre, à chaque fois sans remettre de passeport. Celui-ci répond à la question qui se cache sous les quatre autres, et c'est celle qu'on nous pose le plus souvent : qu'arrive-t-il réellement aux documents d'identité quand on les remet effectivement ?

La réponse courte, c'est que le KYC n'est pas un contrôle qu'on franchit. C'est une copie qui se fabrique — de votre passeport, de votre visage, de votre adresse, de vos coordonnées bancaires — puis dupliquée vers des processeurs dont on ne vous a jamais parlé, conservée par la loi pendant des années après la clôture du compte, et finalement divulguée. Parfois par une fuite. Parfois par un tribunal des faillites. Parfois par un sous-traitant du support client à qui on a proposé de l'argent. 2026 est l'année où cette affirmation a cessé d'être un argument pour devenir un bilan chiffré, et ce bilan, c'est cet article.

Le KYC n'est pas un contrôle, c'est une copie avec un compte à rebours de conservation

Le modèle mental que la plupart des gens ont en tête est celui d'un contrôle à l'entrée : vous montrez votre pièce d'identité, le videur regarde, vous entrez. Ce n'est pas ce qui se passe. Le document est photographié, le selfie est stocké, l'adresse est classée, et le dossier qui en résulte est conservé.

Il est conservé parce qu'il le doit. En vertu des recommandations du FATF, les pays doivent exiger des institutions réglementées qu'elles conservent les dossiers de vigilance client pendant au moins cinq ans après la fin de la relation d'affaires. Le règlement européen anti-blanchiment inscrit ce même chiffre dans une règle unique et contraignante : l'Article 77 AMLR fixe une période de conservation uniforme de cinq ans, puis oblige l'entité à supprimer les données personnelles une fois ce délai expiré — le règlement s'appliquant de manière générale à partir du 10 juillet 2027. Plusieurs États membres se situent déjà au sommet de la fourchette autorisée : l'Espagne et le Luxembourg exigent dix ans, là où la France et les Pays-Bas en appliquent cinq.

Vu du côté de l'utilisateur, cela produit deux conséquences, toutes deux contre-intuitives.

D'abord, clôturer votre compte ne déclenche pas une suppression, cela déclenche un compte à rebours. Les cinq ans courent à partir de la fin de la relation, pas à partir du jour où vous avez téléversé le document. Supprimer l'application ne change rien.

Ensuite, le droit à l'effacement ne s'applique pas à ce dossier. L'article 17 du GDPR s'efface lorsque le traitement est nécessaire au respect d'une obligation légale, et la tenue de registres AML en est exactement un cas. Vous pouvez demander à une plateforme de supprimer votre profil marketing. Vous ne pouvez pas lui demander de supprimer le dossier KYC, et elle ne peut pas s'y conformer même si vous le faites. Ce n'est pas la plateforme qui se montre obstructive — c'est ainsi que le système est conçu.

Voici donc le cadre honnête de toute vérification que vous avez jamais effectuée : une copie de vos documents d'identité existe, dans au moins une base de données, pendant au minimum cinq ans après votre dernière utilisation du service, et vous ne disposez d'aucun moyen de la retirer. Tout ce qui suit porte sur qui d'autre finit par détenir cette copie.

La chaîne est bien plus longue que la plateforme

Voici la partie que presque personne ne se représente correctement. Quand vous vous vérifiez auprès d'une plateforme, vous ne faites pas confiance à une seule société. Vous faites confiance au prestataire de vérification d'identité auquel elle a sous-traité le contrôle, à la plateforme de tickets qu'utilise son équipe support, à l'outil analytique que son équipe croissance a branché sur la table clients, et au prestataire logistique ou au processeur de paiement qui traite vos commandes. Chacun d'eux est une société distincte avec une posture de sécurité distincte, et cette liste ne vous a jamais été montrée.

2026 a fourni une série de preuves exactement à ce niveau. Un recensement public des incidents chez les prestataires de vérification d'identité en consigne plusieurs, survenus en succession rapprochée.

Sumsub, l'un des plus grands prestataires de vérification d'identité au service des plateformes crypto, a révélé le 4 février 2026 une intrusion remontant à juillet 2024 — détectée seulement en janvier 2026, soit environ dix-huit mois sans être repérée. Le point d'entrée était une pièce jointe malveillante soumise via une plateforme de tickets de support tierce. L'entreprise affirme que les documents d'identité et les données biométriques n'ont pas été consultés, et que l'exposition couvre des noms ainsi qu'un sous-ensemble d'e-mails et de numéros de téléphone. Prenez cela pour argent comptant, et l'argument structurel tient toujours : les utilisateurs concernés avaient une relation avec une plateforme, pas avec Sumsub, et n'avaient aucun moyen de savoir que ce prestataire existait.

IDmerit aurait, selon des informations parues en novembre 2025, laissé exposée une instance MongoDB non sécurisée et sans mot de passe, exposant environ un milliard de dossiers personnels répartis dans 26 pays — noms complets, adresses, codes postaux, dates de naissance, numéros d'identification nationale, numéros de téléphone et e-mails. IDmerit conteste que ces données lui appartenaient, et ce désaccord n'est pas tranché ; le cas est mentionné ici tel qu'il a été rapporté, non comme un fait établi. Même en le mettant de côté, un jeu de données de cette ampleur est exactement ce que produit, comme mode de défaillance, une industrie du KYC agrégée.

AU10TIX a laissé des identifiants d'administrateur exposés en ligne pendant plus d'un an — compromis en décembre 2022, découvert en juin 2024 — couvrant documents d'identité, noms, dates de naissance, nationalités et numéros d'identité. Veriff a signalé un accès non autorisé aux alentours du 18 novembre 2025, détecté le 10 décembre, exposant des images de pièces d'identité officielles, des adresses postales et des dates de naissance pour environ 8,583 clients d'une unique entreprise cliente en aval. Persona a laissé le code source de son tableau de bord sur un bucket cloud public en février 2026 — pas des données utilisateurs, mais la logique de vérification elle-même.

L'arithmétique dérangeante, c'est que le nombre de parties détenant une copie de votre document n'est pas un. C'est un, plus le nombre de prestataires utilisés par la première partie, plus le nombre que ceux-ci ont eux-mêmes utilisés. Vous avez consenti à la première. On ne vous a jamais demandé votre avis pour le reste.

2026 : l'année où les fuites étaient des bases de données de livraison

Les incidents propres au secteur crypto en 2026 partagent un trait qui les rend pires qu'un simple dump de mots de passe, et il a fallu du temps au secteur pour le dire clairement.

5 janvier 2026 — Ledger, via Global-e. Ledger a confirmé que des données clients avaient été exposées via Global-e, le marchand officiel tiers qui traite ses commandes internationales. Exposé : noms complets, adresses de livraison, adresses e-mail, numéros de téléphone et détails de commande. Non exposé : données de paiement, phrases de récupération, clés privées, codes PIN. Les systèmes propres de Ledger n'ont pas été compromis — pour la deuxième fois, l'entreprise a été compromise via un partenaire plutôt que via son produit.

16 août 2026 — trois d'un coup, dont deux via le même bug. Le reportage sur cette série d'incidents en détaille les tenants et aboutissants :

• Trezor, via son prestataire logistique ShipMonk — 13,689 clients (11,742 avec exposition complète, 1,947 partielle), noms, e-mails, numéros de téléphone et adresses de livraison, couvrant des expéditions effectuées entre le 10 mai et le 8 août 2026. Cause profonde : CVE-2026-72898, une faille d'injection SQL dans Metabase.
• SafePal — 39,798 clients, noms, e-mails, numéros de téléphone, adresses de livraison et détails d'achat, couvrant des commandes du 2 mars 2025 au 11 avril 2026. Cause profonde : une vulnérabilité d'autorisation dans un plugin tiers de suivi de commandes.
• Bits of Gold, le plus grand courtier crypto régulé d'Israël — environ 200,000 clients, et la charge la plus lourde des trois : noms, numéros d'identité nationale israéliens, e-mails, numéros de téléphone, adresses IP, coordonnées bancaires et adresses de wallet publiques. Même CVE, même faille Metabase, divulgué quelques jours seulement après sa détection. L'entreprise affirme qu'aucun fonds, clé privée, mot de passe ou document d'identité scanné n'a été exposé.

253,487 clients en une seule journée, répartis sur trois entreprises, en grande partie à cause d'un seul outil analytique non corrigé. Aucune des trois n'a été compromise au niveau de son produit central. Toutes trois ont été compromises via quelque chose de greffé dessus.

Mettons maintenant les charges côte à côte. Un mot de passe de plateforme qui fuite est une nuisance que l'on corrige en le changeant. Une adresse de livraison rattachée à l'achat d'un hardware wallet qui fuite est une affirmation permanente qu'une personne précise, à une adresse précise, possède de la crypto en self-custody. On ne peut pas changer son domicile comme un mot de passe. Et une adresse de wallet rattachée à un nom légal et à un compte bancaire — la charge de Bits of Gold — effondre en un seul fichier la séparation entre un registre public et une identité privée.

Mai 2025 — Coinbase, et la voie interne. Ce cas mérite sa place car c'est l'exemple le plus net du mode de défaillance qu'aucune ingénierie ne permet de prévenir. Des sous-traitants du support client basés à l'étranger, soudoyés, ont commencé à copier des données le 26 décembre 2024. L'affaire a été découverte le 11 mai 2025 — le jour même où l'e-mail d'extorsion est arrivé, exigeant 20 millions de dollars. Coinbase a refusé de payer et proposé à la place une prime équivalente de 20 millions de dollars, ce qui était la bonne décision et ne change rien pour les personnes dont les dossiers avaient déjà été copiés. La notification de violation déposée auprès du procureur général du Maine avance le chiffre de 69,461 personnes. L'ensemble exposé : noms, adresses, numéros de téléphone, adresses e-mail, numéros de sécurité sociale masqués, numéros de compte bancaire masqués, certains identifiants de compte bancaire, données de compte, et images de pièces d'identité officielles. Les estimations de l'entreprise pour la remédiation allaient de 180 à 400 millions de dollars.

C'est ce dernier chiffre qu'il faut retenir. Coinbase est une société américaine cotée en bourse, avec un budget sécurité supérieur au chiffre d'affaires de la plupart de ses concurrents, et elle se situe dans le même palier KYC obligatoire que les deux références que nous indexons à titre de comparaison, Kraken et Binance. La variable, c'était que ces données existaient dans un outil de support qu'un être humain pouvait être payé pour ouvrir.

Le modèle de menace est passé de votre compte bancaire à votre porte d'entrée

Pendant dix ans, la réponse standard à « et alors, si mes données KYC fuitent » a été l'usurpation d'identité et le phishing — agaçant, assurable, surmontable. En 2026, cette réponse a cessé d'être suffisante.

Le rapport de CertiK sur les wrench attacks du S1 2026 — un « wrench attack » étant le terme du métier désignant l'extraction de clés par coercition physique exercée sur une personne, plutôt que par l'exploitation d'une faille dans un système — documente 52 incidents vérifiés au premier semestre 2026, contre 39 au S1 2025, soit une hausse de 33%. L'exposition financière enregistrée est passée de 10.5 millions de dollars à 124.1 millions, soit près d'une multiplication par douze.

C'est la ventilation tactique qui rend cela pertinent pour un article sur les fuites de données :

• Les invasions de domicile sont passées d'1 incident au S1 2025 à 20 au S1 2026, soit environ 41% de l'ensemble des cas.
• Les enlèvements sont passés de 12 à 16. La torture est restée stable à 4, les meurtres à 1.
• L'Europe a concentré 39 des 52 incidents, et la France à elle seule 33 — soit 63.5% du total mondial.

Une invasion de domicile suppose une adresse de domicile. Vingt en six mois, dans une catégorie qui n'en comptait qu'une l'année précédente.

Le lien entre données commerciales qui fuitent et risque physique n'a rien de nouveau, et le cas d'école est bien documenté. La fuite e-commerce de Ledger en juillet 2020 a exposé environ 1 million d'adresses e-mail et 272,000 dossiers contenant noms, numéros de téléphone et adresses personnelles — un jeu de données toujours répertorié publiquement. Ce qui a suivi n'était pas de la fraude à la carte bancaire. C'était des e-mails d'extorsion exigeant 700 à 1,000 dollars en Bitcoin, assortis de menaces explicites visant le domicile du destinataire, puis en 2021, des appareils de « remplacement » physiquement trafiqués, envoyés par courrier aux adresses issues du dump, sous blister et accompagnés d'un faux papier à en-tête demandant à la victime de saisir sa phrase de récupération dans le matériel modifié.

Voilà le mécanisme, et 2026 en a rafraîchi les données d'entrée. Une base de données de livraison de hardware wallets est, par construction, une liste de personnes en self-custody, déjà filtrée pour ne garder que celles qui se sont souciées d'acheter un appareil dédié, avec une adresse de livraison rattachée. Il n'existe pas de liste de ciblage plus efficace dans ce secteur, et trois d'entre elles ont fuité cette année.

La lecture proportionnée compte ici, et nous ne la gonflerons pas : 52 incidents à l'échelle mondiale, c'est un petit nombre face aux dizaines de millions de détenteurs, et l'exposition réaliste du lecteur médian tient au spam d'extorsion plutôt qu'à une invasion de domicile. Mais la tendance va dans le mauvais sens, la concentration dans un seul pays est frappante, et l'intrant est précisément la catégorie de données qui continue de fuiter.

La faillite publie ce qu'aucun pirate n'a eu besoin de voler

Il existe une voie de divulgation qui n'implique aucun attaquant, et presque personne ne s'y prépare.

Quand Celsius a déposé sa déclaration financière le 5 octobre 2022, le document de 14,500 pages est entré au dossier public du tribunal en faisant figurer les noms des clients à côté des types, montants et dates de leurs transactions — couvrant, selon les décomptes de presse de l'époque, plus de 600,000 utilisateurs. Les adresses postales étaient caviardées. Pas les noms. Celsius a demandé au tribunal de les sceller et le juge a refusé à plusieurs reprises, pour la raison tout à fait ordinaire que l'identité des créanciers est publique en cas de faillite.

L'effet de second ordre est celui qui devrait inquiéter un détenteur de crypto. Un nom publié à côté d'un montant de transaction daté constitue une clé de correspondance. Quiconque est prêt à faire le travail peut aligner ces montants datés sur l'activité on-chain et rattacher un nom légal à des wallets qui n'avaient jamais été reliés à personne. L'insolvabilité d'une plateforme custodiale a désanonymisé l'historique on-chain de ses utilisateurs, de façon permanente, par la grande porte, dans un dépôt de dossier censé être une simple formalité.

Aucun exploit. Aucune demande de rançon. Aucun prestataire fautif. Juste une entreprise qui détenait des données d'identité et qui s'est retrouvée à court d'argent — l'événement le plus courant de toute l'histoire de ce secteur.

Ce que cela démontre, et ce que cela ne démontre pas

Cela ne démontre pas que les plateformes sont négligentes. Relisez les cas : Coinbase a refusé la rançon et communiqué publiquement. Bits of Gold et Trezor ont divulgué leur incident quelques jours après détection. L'infrastructure propre de Ledger n'a été compromise ni en 2020 ni en 2026, dans les deux cas c'est celle d'un partenaire qui l'a été. Ce sont, dans l'ensemble, des organisations compétentes, dotées de véritables équipes de sécurité, et les données ont fuité quand même.

Cela ne démontre pas non plus que le KYC est sans utilité, ni que l'éviter exempte qui que ce soit de quoi que ce soit. Les obligations fiscales relèvent d'un régime juridique distinct qui s'applique de toute façon — un point que nous développons dans le guide sur la vente et que nous répétons ici.

Ce que cela démontre est plus étroit et, à notre sens, difficile à contester. La seule variable qu'un utilisateur contrôle, c'est si le dossier a été créé ou non. Une fois qu'il existe, son sort échappe à vos mains : il peut fuiter chez la plateforme, fuiter chez un prestataire dont vous n'avez jamais entendu parler, être copié par un sous-traitant soudoyé, être publié par un tribunal des faillites, ou simplement être conservé pendant cinq à dix ans, ce qui laisse largement le temps à l'une de ces choses de se produire. Une donnée qui n'a jamais été collectée n'a aucun de ces modes de défaillance. Ce n'est pas un slogan pro-vie privée, c'est l'intégralité de l'argument, et chaque incident ci-dessus en est une illustration.

À quoi ressemble réellement « aucune donnée collectée »

C'est ici que l'abstraction devient une liste. Sur les 28 services que nous indexons, 13 ne demandent aucune inscription et 11 exigent une adresse e-mail — et la différence entre ces deux colonnes, c'est exactement la différence entre une entreprise capable de faire fuiter votre identité et une autre qui n'a rien à faire fuiter.

La partie instructive, c'est la conception des identifiants de connexion, car plusieurs de ces services ont résolu un problème que le grand public considère comme insoluble : comment faire fonctionner un système de comptes sans aucune identité à l'intérieur ?

ServPrivate, l'entrée la mieux notée de l'index à 9.7/10, délivre un jeton de 16 caractères au premier paiement, et ce jeton est le seul identifiant de connexion pour toute la durée de vie du compte — aucun nom, aucun e-mail, aucun téléphone, aucune adresse de réinitialisation de mot de passe. La conséquence est structurelle plutôt que promissoire : il n'existe aucun identifiant de secours qu'un opérateur pourrait être contraint de produire, parce qu'aucun n'a jamais été créé.

Mullvad, à 9.4/10, fait de même avec un numéro de compte à 16 chiffres et rien d'autre, et son affirmation de no-logs fait partie de la très courte liste de celles qui ont été testées plutôt que simplement affirmées — une descente de la police suédoise en 2023 n'a permis de saisir aucune donnée client. IVPN, à 9.3/10, est le quasi-jumeau gibraltarien, avec six audits no-logs annuels consécutifs menés par Cure53, publiés intégralement ; le comparatif détaille les différences.

SMSBurner, à 9.6/10, va plus loin encore : le serveur génère une seed phrase de 16 caractères, et cette seed est le compte — aucun e-mail, aucun mot de passe, aucun nom d'utilisateur et aucune procédure de récupération, ce qui est un coût réel honnêtement affiché. MoneroSMS, à 6.9/10, est l'alternative à dominante Monero, avec un miroir onion. Les deux comptent pour la même raison : un numéro de téléphone rattaché à votre ligne d'opérateur est l'identifiant qui survit à toutes les autres précautions que vous prenez, et c'est celui qui se fait SIM-swapper.

GrabMail, à 6.9/10, n'a purement et simplement aucun compte — aucun e-mail, aucun mot de passe, aucun paiement, aucun cookie — et supprime chaque message au bout de cinq jours. Le service est franc sur le compromis : sur un domaine partagé, l'adresse est le seul secret, ce qui en fait une excellente plomberie pour un code de vérification et le mauvais outil pour tout ce que vous n'aimeriez pas voir lu par un inconnu. SimpleLogin, à 7.5/10, est le compromis inverse — il exige un e-mail de compte, ce qui explique qu'il se situe en discret (L2) — mais il est open source à tous les niveaux, audité par Securitum en 2022, et il vous donne un alias par plateforme.

Et tout en bas de l'échelle, Bisq, à 8.7/10, et BasicSwap, à 9.1/10, sont les deux seules entrées sans confiance (L0) de l'index — aucune société ne détient de fonds, aucune société ne détient de compte, et il n'existe par conséquent aucune table clients à faire fuiter, à assigner ou à vendre lors d'une liquidation. C'est exactement ce que mesure le sommet de notre échelle KYC, et cet article est la raison pour laquelle cette échelle est construite ainsi : L0 n'a rien à faire fuiter, L1 a une politique, L5 a un dossier.

Une limite honnête à poser, car c'est exactement celle qu'ont exploitée les fuites de 2026. Pas d'inscription ne veut pas dire pas de trace, dès lors qu'un objet physique doit être livré. Expédier un hardware wallet crée une adresse, et c'est cette adresse qui a fuité chez Ledger, Trezor et SafePal — pas leur KYC, qu'elles ne collectent d'ailleurs pas pour la plupart. Notre guide pour dépenser sa crypto traite plus en détail le problème de la livraison ; en version courte, les catégories les plus solides sans KYC sont celles qui n'ont rien à expédier.

Que faire si vous vous êtes déjà fait vérifier

C'est le cas de la plupart des lecteurs. La question réaliste n'est pas de savoir comment défaire cela — vous ne pouvez pas — mais ce qui, après coup, change encore quelque chose.

• Acceptez que la copie soit permanente pour l'instant. Le compte à rebours de conservation AML court pendant cinq ans après votre dernière transaction, dix dans certaines juridictions, et aucune demande de suppression ne peut le contourner. Organisez-vous autour de l'existence du dossier plutôt qu'autour de sa suppression.
• Cessez de réutiliser un même identifiant sur plusieurs plateformes. Une seule adresse e-mail utilisée sur dix plateformes signifie qu'une seule fuite suffit à toutes les corréler. Un alias par plateforme rend chaque fuite attribuable à sa source et individuellement révocable — l'amélioration structurelle la moins coûteuse de cette liste.
• Sortez votre numéro d'opérateur de l'équation. C'est l'identifiant sur lequel s'ancrent les attaques SIM-swap, et il survit à tous les autres changements ; c'est exactement pour cela qu'existe la catégorie SMS.
• N'expédiez jamais rien de lié à la crypto chez vous si vous avez une alternative. Ceci est la leçon précise et étayée de 2026, pas un conseil générique. Une consigne à colis ou un point retrait ne coûte rien et retire votre adresse de la prochaine base de données de commandes qui fuitera.
• Ne confirmez vos avoirs nulle part où cela s'associe à une adresse. Tickets de support, enregistrements de garantie, formulaires de jeux-concours et profils de forum sont autant d'endroits où l'on fournit volontairement la combinaison qu'une fuite devrait sinon reconstituer elle-même.
• Ne consolidez pas un solde lié au KYC avec un solde privé. Une transaction qui dépense plusieurs entrées à la fois affirme qu'une seule entité les contrôlait toutes, de façon permanente et publique — fusionner un historique vérifié dans une pile non vérifiée est irréversible, et nous traitons ce point dans le guide d'achat.
• Traitez le courrier d'extorsion comme du spam de masse. Les e-mails post-fuite prétendant connaître précisément vos avoirs sont, dans leur immense majorité, envoyés en masse à partir d'une liste qui a fuité. Posséder votre adresse n'est pas posséder vos clés.
• Faites bouger le prochain, pas le dernier. Vous ne pouvez pas annuler une vérification déjà faite. Vous pouvez en revanche faire en sorte que le prochain service auquel vous vous inscrivez soit un service qui ne demande jamais rien — ce qui, au vu de ce qui précède, est la seule mesure qui change structurellement quelque chose.

Questions fréquentes

Puis-je faire supprimer mes données KYC par une plateforme ?

Généralement non, et pas parce que la plateforme refuse. La tenue de registres AML est une obligation légale, et le droit à l'effacement du GDPR s'efface lorsque le traitement est nécessaire au respect de cette obligation. En vertu de l'Article 77 AMLR, la période de conservation est de cinq ans à partir de la fin de la relation, après quoi la suppression devient obligatoire plutôt que facultative — mais durant ces années, la demande n'a aucune force légale. Vous pouvez généralement faire supprimer vos profils marketing et analytiques ; le dossier d'identité est une catégorie à part.

Ma pièce d'identité est-elle en sécurité si la plateforme elle-même n'est jamais piratée ?

Le bilan de 2026 indique que ce n'est pas la bonne question. Ledger, Trezor, SafePal et Bits of Gold ont tous été compromis via des tiers — un marchand officiel, un prestataire logistique, un plugin de suivi de commandes et un outil analytique. Coinbase a été compromis via des sous-traitants du support client. Dans aucun de ces cas le produit central de l'entreprise n'a été compromis. Votre exposition est l'union de tous les prestataires de la chaîne, et cette liste ne vous est jamais montrée.

Qui présente le plus de risque : la plateforme ou le prestataire de vérification d'identité ?

Le prestataire est la cible à plus fort effet de levier, parce qu'il agrège. La fuite d'une plateforme expose les utilisateurs de cette plateforme ; la fuite d'un prestataire de vérification touche potentiellement toutes les plateformes qui lui ont sous-traité leurs contrôles. C'est la préoccupation structurelle que soulève la divulgation de Sumsub en février 2026, indépendamment du caractère limité que finit par avoir cette exposition en particulier, et c'est ce qui rend plausible un dump d'identité d'un milliard de dossiers rapportés, d'une façon qu'une plateforme à un milliard d'utilisateurs ne le serait jamais.

Une fuite KYC met-elle mes coins en danger ?

Pas directement — des données d'identité qui fuitent ne déplacent pas de fonds, et aucun des incidents de 2026 n'a exposé de clé privée ni de phrase de récupération. Le risque est indirect, et il est bien réel : phishing ciblé qui connaît votre vrai nom et votre historique d'achat, tentatives de SIM-swap contre un numéro de téléphone connu, matériel trafiqué envoyé à une adresse connue, et à l'extrême, la catégorie de coercition physique que CertiK a mesurée en hausse de 33% en un an.

Pourquoi les acheteurs de hardware wallets ont-ils été spécifiquement ciblés en 2026 ?

Parce qu'une base de données de livraison de hardware wallets est la liste de ciblage de la plus haute qualité du secteur. Chaque entrée est une personne en self-custody, qui s'est souciée d'acheter un appareil dédié, avec une adresse de livraison vérifiée rattachée. L'ironie est exacte : l'achat qui retire vos coins du risque d'un dépositaire est celui-là même qui place votre adresse dans la base de données d'un marchand.

Éviter le KYC, est-ce réservé à ceux qui ont quelque chose à cacher ?

Les 52 personnes recensées par CertiK au S1 2026 ne cachaient rien. Elles étaient identifiables, et quelqu'un savait où elles habitaient. L'argument pour minimiser le dossier est le même que celui pour ne pas publier son solde bancaire : ce n'est pas de la dissimulation, mais le jugement ordinaire qu'une donnée qui n'a pas été collectée ne peut ni fuiter, ni être assignée, ni être vendue lors d'une faillite, ni servir à vous retrouver. Les obligations légales — la fiscalité avant tout — ne sont affectées dans aucun des deux cas.

Quel est le changement le plus rentable que je puisse faire ?

Arrêtez de vous faire livrer du matériel crypto à votre adresse personnelle, et utilisez un alias e-mail distinct par service. Ces deux mesures ne coûtent rien, ne demandent aucune compétence technique, et s'attaquent aux deux catégories de données qui ont réellement fuité en 2026. Tout le reste de la liste n'est que du raffinement.

Un VPN me protège-t-il de tout cela ?

Il protège l'adresse IP, ce qui est un gain réel — la fuite de Bits of Gold incluait des adresses IP, et IVPN et Mullvad figurent dans l'index précisément parce qu'ils ne collectent rien qui puisse fuiter au départ. Cela ne change rien à un document que vous avez déjà téléversé, ni à une adresse que vous avez déjà donnée à un transporteur. Réglez la collecte ; le VPN n'est qu'une hygiène posée par-dessus.

En résumé

Ce que ce bilan montre de plus utile, c'est que les conseils habituels visent le mauvais niveau. Choisir une plateforme réputée, activer une double authentification matérielle et utiliser un mot de passe robuste, tout cela vaut la peine d'être fait, et pourtant rien de tout cela n'aurait aidé la moindre personne dans le moindre incident ci-dessus. Leurs données ont fuité via un prestataire logistique, un outil analytique, un sous-traitant soudoyé et un dépôt de dossier de faillite.

Deux constats dépassent le cadre de chaque service nommé ici. Le nombre de parties qui détiennent vos documents d'identité vous est inconnu, et ce n'est jamais un seul — la chaîne de prestataires est invisible par construction, et c'est précisément là que se sont produites les fuites de 2026. Et la conservation signifie que la fenêtre d'exposition survit à la relation : le dossier survit au compte de cinq ans au minimum, ce qui laisse largement le temps à une entreprise d'être rachetée, compromise, ou liquidée.

Face à cela, le seul contrôle durable se situe en amont de tout le reste. Un dossier qui n'a jamais été créé ne peut pas fuiter chez un prestataire dont on ne vous a jamais parlé, ne peut pas être copié par un sous-traitant soudoyé, et ne peut pas être versé au dossier d'un tribunal par une entreprise à court d'argent. C'est toute la thèse de ce site, et cette année en a écrit la preuve.

Ceci est une analyse éditoriale, pas un conseil juridique, sécuritaire ou financier.