Des opérateurs de crypto-actifs, dont la société Waltio ou leurs prestataires, ont récemment été victimes de fuites de données personnelles.

Dans ce contexte, une enquête préliminaire sur la fuite de données concernant Waltio et diligentée sur les instructions de la section de lutte contre la cybercriminalité (J3) du Parquet de Paris est notamment ouverte à l’Unité nationale cyber de la Gendarmerie nationale (UNCyber). Les investigations sont en cours pour déterminer la nature précise des données dérobées et identifier les clients de la société qui en ont été victimes.

Pour sa part, Cybermalveillance.gouv.fr reçoit de nombreux témoignages d’utilisateurs de son service d’assistance 17Cyber faisant état de prises de contact par de faux employés qui prétendent travailler pour des opérateurs connus de crypto-actifs (Binance, Coinhouse, Coinbase, Waltio, etc.) ou de faux services anti-fraude de leur banque qui les alertent de transactions suspectes sur leur portefeuille de cryptomonnaies. À la manière des fraudes au faux conseiller bancaire et généralement par téléphone, ils tentent de manipuler les détenteurs de cryptomonnaies afin de détourner leurs actifs vers des portefeuilles frauduleux.

Dans certains cas, il s’agit d’appels de faux représentants de l’ordre (policiers, gendarmes, douaniers, magistrats), dont l’objectif est d’obtenir des informations complémentaires sur les détenteurs de crypto-actifs ou encore des documents ou objets sensibles (moyens de paiement, clés de récupération (« seeds »), biens de valeur, etc.).

Dans les situations les plus graves, des malfaiteurs peuvent aller jusqu’à menacer et agresser physiquement les victimes ou leur entourage proche pour les extorquer. Des enlèvements et séquestrations ont encore été signalés aux forces de l’ordre en janvier 2026.

Risques et recommandations

Les conséquences potentielles de cet incident concernent principalement les différentes formes d’hameçonnage (phishing) et de tentatives d’escroqueries dont pourraient être la cible les personnes concernées par la violation de leurs informations.

Par précaution et dans l’attente de la détermination de l’ampleur de la fuite de données, Cybermalveillance.gouv.fr recommande à tous les clients de la société Waltio, et plus généralement aux détenteurs de crypto-actifs, dont les données personnelles pourraient avoir fait l’objet d’une compromission : 

• Soyez particulièrement méfiant face à tout appel téléphonique ou message (mail, SMS, messageries instantanées, réseaux sociaux…) de personnes ou d’organismes dont on a usurpé l’identité qui prétendraient vous connaître à partir des informations dérobées.
  Ces personnes vous contacteraient dans le but de vous soutirer des informations confidentielles (clés de récupération (« seeds »), montant des avoirs de cryto-actifs, codes, mots de passe, coordonnées de carte bancaire, copies de documents d’identité, …) ou encore vous faire valider des opérations bancaires, voire de récupérer vos moyens de paiements et vos portefeuilles/clés de sécurité physiques de cryptomonnaies à votre domicile (faux représentants de l’ordre, faux conseillers anti-fraude, faux coursiers).

• Authentifiez toujours votre interlocuteur en contactant directement l’organisme concerné à ses coordonnées officielles que vous trouverez par exemple sur son site Internet, en consultant les informations disponibles dans votre espace personnel, en vérifiant les adresses mails et les liens contenus dans les messages ou encore, selon la situation, en contactant directement les forces de l’ordre (voir « Point de vigilance particulier » en fin d’article), etc.

Prenez toujours le temps de vérifier les informations par vous-même, surtout si on vous incite à réagir rapidement !

• Déposez plainte en cas d’utilisation frauduleuse de vos données personnelles divulguées. Conservez toutes les preuves (messages, adresse du site web, captures d’écran…) et déposez plainte au commissariat de police ou à la brigade de gendarmerie dont vous dépendez. Vous pouvez également adresser votre plainte par écrit au procureur de la République du tribunal judiciaire dont vous dépendez en fournissant toutes les preuves en votre possession.
  
• Déposez plainte auprès de la CNIL si vous estimez que vos données personnelles n’ont pas été suffisamment protégées.
  
• Engagez au besoin une action de groupe ou un recours collectif qui permet aux victimes, représentées par une association de protection de la vie privée et des données personnelles ou une association de défense des consommateurs agréée au niveau national, de saisir la justice pour demander la cessation de la violation de données personnelles et la réparation du préjudice.

Pour plus d’information, vous pouvez également consulter notre article dédié aux violations ou fuites de données personnelles, ainsi que les conseils de la CNIL.