Garde de crypto : wallets et responsabilités

Dans le monde crypto vaut un principe brutal : qui contrôle les clés privées contrôle les valeurs. Peu importe qui apparaît comme propriétaire dans un contrat : ce qui compte, c’est qui peut signer les transactions. C’est pourquoi la garde — c’est-à-dire la gestion des clés — est le sujet technique et juridique le plus délicat de tout le secteur. Qui garde des cryptos pour le compte de tiers assume des responsabilités précises et, souvent, entre dans un périmètre réglementé. Voici ce qui distingue les modèles et où se nichent les responsabilités.

Custodial et non-custodial : la distinction qui change tout

La première question est toujours la même : qui détient les clés privées ?

• Wallet non-custodial : les clés sont entre les mains de l’utilisateur. Le fournisseur offre seulement le logiciel, n’a pas accès aux valeurs et ne peut en disposer. En principe, ce modèle ne constitue pas une garde pour le compte de tiers : le fournisseur ne détient rien.
• Wallet custodial : les clés sont détenues par le fournisseur, qui contrôle de fait les valeurs des clients. C’est ici que naît la véritable garde — et avec elle les responsabilités et, souvent, l’assujettissement réglementaire.

Beaucoup de solutions réelles se situent entre les deux (multisignature, garde partagée, MPC) : le critère décisif n’est pas l’étiquette commerciale, mais qui peut effectivement disposer des valeurs.

Pourquoi la garde entre dans le périmètre réglementé

Garder des cryptos pour le compte de tiers touche plusieurs domaines.

Lutte contre le blanchiment (LBA)

Détenir et transférer des valeurs pour le compte de clients relève typiquement de l’intermédiation financière et déclenche la LBA : identification de la clientèle, clarification de l’ayant droit économique, surveillance des transactions, obligations de communication. Il en résulte l’affiliation à un organisme d’autorégulation (OAR) ou le rattachement à un sujet déjà assujetti.

Acceptation de dépôts et licences

La manière dont les valeurs sont gardées compte. Si les crypto-actifs sont tenus à la disposition du client et individuellement attribuables, la situation est différente du cas où le dépositaire les met en commun ou les utilise. La mise en commun de valeurs peut rapprocher le modèle de l’acceptation de dépôts, avec des implications quant à la licence bancaire ou à la licence fintech. La structure de garde doit être conçue en sachant où passe cette ligne.

Protection en cas de faillite

La loi DLT a clarifié que les crypto-actifs gardés pour le compte des clients peuvent être distraits de la masse en faillite du dépositaire, pourvu qu’ils soient tenus à la disposition du client et attribuables individuellement. C’est une protection décisive, mais conditionnée : si la garde ne respecte pas les exigences, les valeurs des clients risquent de tomber dans la masse. Mettre en place correctement la ségrégation fait partie intégrante de la responsabilité du dépositaire.

Les responsabilités opérationnelles

Au-delà du périmètre réglementaire, la garde comporte des responsabilités concrètes et permanentes :

• Sécurité des clés : génération, conservation, sauvegarde, procédures de signature. Une clé perdue est une valeur perdue ; une clé compromise est une valeur volée.
• Continuité et gouvernance : que se passe-t-il si une personne clé n’est pas disponible ? Les procédures doivent tenir sans dépendre d’un seul individu.
• Traçabilité : enregistrement des opérations, réconciliation, attribution des valeurs aux différents clients.
• Gestion des incidents : plans de réponse aux compromissions, erreurs, contestations.

Ces responsabilités ne se délèguent pas par une clause : elles doivent être conçues dans l’infrastructure et dans l’organisation.

L’approche correcte

La séquence est toujours la même : on définit d’abord quel modèle de garde on veut offrir (custodial, non-custodial, partagé) ; puis on qualifie l’activité du point de vue réglementaire ; ensuite on construit l’infrastructure technique et organisationnelle — ségrégation des valeurs, sécurité des clés, dispositifs anti-blanchiment, gouvernance — cohérente avec le périmètre. Partir de la technologie sans avoir qualifié l’activité est le moyen le plus rapide de se retrouver à garder des valeurs d’autrui sans l’autorisation ou l’affiliation nécessaires.

Comment SIH ONE aborde le sujet

SIH ONE s’occupe de structuration et de conseil : qualification du modèle de garde, identification du périmètre d’autorisation, conception de la structure de ségrégation et des dispositifs anti-blanchiment, mise en place de la gouvernance. Là où la garde pour le compte de tiers requiert une autorisation ou une affiliation, les activités réglementées passent par des partenaires autorisés qui offrent la garde proprement dite. L’objectif est que les responsabilités soient claires et la structure solide avant qu’une seule valeur ne soit gardée.

Ce contenu est informatif et ne constitue pas un conseil juridique ou réglementaire. Chaque modèle doit être vérifié dans le cas spécifique.

Vous voulez garder des cryptos de manière conforme et avec des responsabilités claires ? Parlons-en : nous définissons le modèle et construisons la structure, avec les bons partenaires là où l’autorisation est nécessaire.