Newsletter Fiscoin, 30 septembre 2026

Bitget piraté : ce qui s'est passé, et que faire si cela vous arrive

Le 24 septembre, la plateforme Bitget s'est fait dérober près de 388 millions de dollars et a gelé les retraits de tous ses clients. Ce mercredi, les retraits en USDT reprennent. Quatre jours plus tard, à Paris, le régulateur européen annonçait vouloir surveiller de près exactement ce type de faille. Voici les faits, puis ce qu'ils changent pour vous, y compris dans votre déclaration d'impôt.

Six jours de retraits gelés

Des pirates ont exploité une faille dans un produit de sécurité fourni à Bitget par un prestataire externe, ce qui leur a donné des accès internes de haut niveau. Ils ont vidé une partie des portefeuilles connectés de la plateforme, sur plusieurs réseaux. Les portefeuilles hors ligne n'ont pas été touchés, et Bitget affirme que les soldes de ses clients sont restés intacts. Les enquêteurs soupçonnent des pirates liés à la Corée du Nord.

  1. Premiers transferts non autorisés depuis les portefeuilles connectés. Bitget suspend tous les retraits ; dépôts et négoce continuent.

  2. Circle, puis Tether, bloquent une adresse de l'attaquant : environ 318 000 dollars gelés, une infime partie du butin.

  3. Bitget relève son estimation de 351,6 à 387,5 millions de dollars et publie un calendrier de réouverture, monnaie par monnaie.

  4. Réouverture des retraits en bitcoin. Le même jour, l'ESMA publie son programme de travail 2027.

  5. Réouverture des retraits en ether. En 24 heures, les clients retirent en net quelque 463 millions de dollars.

  6. Réouverture annoncée des retraits en USDT, sur Ethereum, BNB Chain, Solana et Tron.

  7. Retour prévu de toutes les autres monnaies, des retraits en devises et du marché entre particuliers.

387,5 M$dérobés, le plus gros vol crypto de l'année
131 %taux de réserves publié au 29 septembre, sur 19 actifs
< 200 M$restant dans le fonds de protection, contre plus de 464 M$ au départ
766 M$perdus dans des piratages sur l'ensemble du secteur en septembre, selon CertiK

Le préjudice est couvert par le fonds de protection des utilisateurs de Bitget, que la plateforme dit vouloir reconstituer sur ses fonds propres. Pour ses clients, l'affaire devrait donc se solder par une semaine d'attente, pas par une perte. C'est le scénario favorable. Il ne se répète pas à chaque fois.

Au même moment, l'Europe change de braquet

Le programme de travail 2027 de l'Autorité européenne des marchés financiers (ESMA) marque un tournant : après deux ans à écrire les règles du règlement MiCA, elle passe à la surveillance. Ses premières priorités pour les prestataires crypto sont la résilience opérationnelle, le recours à des sous-traitants et la présence réelle des sociétés dans l'Union. Le piratage de Bitget, passé par un outil de sécurité externe, en est l'illustration parfaite.

L'ESMA prévoit aussi de rendre pleinement opérationnel en 2027 son système de détection des abus de marché, et de nourrir la révision de MiCA que la Commission européenne doit présenter d'ici juin 2027. La Suisse n'applique pas MiCA, qui reste un texte européen. Mais une bonne partie des plateformes utilisées depuis la Suisse s'y conforment pour pouvoir servir leurs clients européens : un contrôle plus serré de leur sécurité vous profite indirectement.

Si cela vous arrive

Une plateforme qui gèle les retraits, ce n'est pas encore une perte. Ce que vous faites dans les premiers jours conditionne pourtant tout le reste : vos chances de récupérer vos fonds, et votre capacité à justifier votre déclaration d'impôt.

Dans les premières heures

  1. Ne vous informez qu'aux sources officielles. Le site de la plateforme et ses comptes vérifiés. Chaque piratage s'accompagne de faux messages de support et de liens d'hameçonnage.
  2. Figez la situation. Capture d'écran de vos soldes avec la date, export complet de l'historique de transactions, copie de l'annonce de suspension. Si la plateforme ferme son site, vous n'aurez plus rien d'autre.
  3. Notez la date, les quantités et le cours du jour pour chaque monnaie concernée. Sans ces trois éléments, vous ne pourrez chiffrer ni une perte ni un remboursement.
  4. Ignorez les services de récupération. Personne ne peut débloquer vos fonds contre paiement. Ces offres sont presque toujours une seconde escroquerie.

À la réouverture

  1. Vérifiez votre solde par rapport à vos captures, et, si la plateforme le propose, votre inclusion dans sa preuve de réserves.
  2. Retirez sans précipitation. Contrôlez l'adresse de destination et commencez par un petit montant. Les files d'attente et les pannes sont fréquentes les premiers jours.
  3. Demandez-vous ce qui doit rester sur une plateforme. Ce que vous ne négociez pas a sa place dans un portefeuille dont vous détenez les clés.

Au 31 décembre

C'est ici que la fiscalité entre en jeu. En fortune privée, les gains en capital sont exonérés (art. 16 al. 3 LIFD), et en contrepartie les pertes ne se déduisent pas : ni un piratage, ni une faillite ne réduisent votre impôt sur le revenu. Sauf si le fisc vous considère comme commerçant professionnel, auquel cas vos gains deviennent imposables et vos pertes déductibles. Ce que l'incident modifie, c'est votre déclaration de fortune, établie d'après la situation en fin d'année (art. 14 et 17 LHID).

Ce que vous déclarez au 31 décembre, selon l'issue

Retraits rouvertsLe cas Bitget : la plateforme a couvert la perte, votre solde est intact.

Ce que vous possédez
Vos jetons, comme avant l'incident.
Valeur à déclarer
Cours de fin d'annéeSelon la liste ICTax de l'AFC ou, à défaut, le cours de la plateforme. Rien de particulier à signaler.
Pièces à garder
Vos captures et exports, au cas où la question viendrait plus tard.

Toujours bloquésLa plateforme est solvable mais les retraits ne sont pas rouverts au 31 décembre.

Ce que vous possédez
Toujours vos jetons, seul l'accès est suspendu.
Valeur à déclarer
Cours de fin d'annéeUne décote pour illiquidité peut se demander et se justifier ; elle dépend de la pratique cantonale et n'est pas automatique.
Pièces à garder
Annonce de suspension, date du blocage, capture du solde au 31 décembre.

FailliteLa plateforme n'a pas pu couvrir le vol et entre en liquidation.

Ce que vous possédez
En général, une créance contre la masse en faillite, et non plus les jetons.
Valeur à déclarer
Valeur probable de recouvrementLes cantons admettent de tenir compte du risque de perte d'une créance incertaine, à condition de le documenter.
Pièces à garder
Preuve de production de la créance, décomptes et plan de répartition du liquidateur.

Deux précisions. Si une plateforme suisse fait faillite et que vos jetons y étaient conservés de façon individualisable, la loi permet de les distraire de la masse (art. 242a LP) : vous restez propriétaire et les déclarez au cours de fin d'année. Et si vous êtes remboursé, par un fonds de protection ou par un liquidateur, le versement rétablit un capital privé : il ne constitue pas un revenu imposable. Une éventuelle part d'intérêts versée en plus reste une question ouverte, à soumettre à votre canton.

Pour le détail, notamment la façon de déclarer une créance incertaine, lisez notre article Jetons piratés, plateforme en faillite : que dire au fisc ?

Ailleurs ce mois-ci

AllemagneBerlin veut supprimer le délai de détention d'un an

Le 30 septembre, le ministère allemand des Finances a soumis aux associations un avant-projet de loi : pour les cryptomonnaies achetées dès le 1er janvier 2027, les gains seraient imposés à 25 % plus la contribution de solidarité, quelle que soit la durée de détention. Les avoirs acquis jusqu'au 31 décembre 2026 garderaient la règle actuelle. Le gouvernement doit l'examiner le 14 octobre, puis le Bundestag et les Länder devront l'adopter : rien n'est acquis. En Suisse, les gains réalisés sur la fortune privée restent exonérés, quelle que soit la durée de détention.

Union européenneL'ESMA réclame le pouvoir de geler des cryptoactifs

Dans sa réponse à la consultation de la Commission sur la révision de MiCA, remise le 30 septembre, l'ESMA demande à pouvoir ordonner à une plateforme de geler immédiatement des avoirs soupçonnés d'être liés à des abus de marché ou au blanchiment, le temps de l'enquête. Elle souhaite aussi des moyens d'agir contre les sites frauduleux et les sociétés étrangères qui démarchent les Européens sans autorisation. Ce sont des propositions : la Commission doit rendre son rapport d'ici juin 2027.

SécuritéSeptembre, pire mois de l'année pour les piratages

La société d'audit CertiK chiffre à environ 766 millions de dollars les pertes dues aux piratages et à l'hameçonnage en septembre, plus de trois fois le total d'août. Bitget en représente à lui seul la moitié, devant le réseau Liquid. Environ 270 millions ont depuis été restitués ou gelés : le chiffre mesure les fonds dérobés, pas les pertes définitives des utilisateurs.

Ce qu'il faut retenir

  • Bitget a perdu 387,5 millions de dollars le 24 septembre ; ses clients ne devraient rien perdre, le fonds de protection couvrant le vol.
  • L'ESMA fait de la sécurité et de la sous-traitance des plateformes sa priorité pour 2027. MiCA ne s'applique pas en Suisse, mais touche beaucoup de plateformes que vous utilisez.
  • Si vos avoirs sont gelés, documentez tout dès le premier jour : soldes, date, cours.
  • Une perte crypto en fortune privée ne se déduit jamais du revenu ; elle modifie seulement votre fortune au 31 décembre.
  • Selon l'issue, vous déclarez vos jetons au cours de fin d'année ou une créance à sa valeur probable.
  • L'Allemagne prépare la fin de l'exonération après un an ; la Suisse, elle, n'impose pas les gains privés.

Sources

Les règles de base, sans jargon

Le guide Comprendre explique en 33 pages comment la Suisse impose vos cryptomonnaies : fortune, revenus, frontière avec l'activité professionnelle. Il sera gratuit et paraîtra avant la saison des déclarations.

Être prévenu de sa sortie Voir les trois niveaux