Portefeuille crypto : la FCA cite des contrôles renforcés comme « bonne pratique », sans règle ni seuil

La Financial Conduct Authority (FCA), le régulateur financier britannique, veut que les plateformes crypto du Royaume-Uni voient dans les dépôts issus de portefeuilles non hébergés une raison de contrôler de plus près, sans en faire une règle. Dans le projet de mise à jour de son Financial Crime Guide, publié le 23 octobre 2026 dans le document de consultation CP26/38, l’autorité cite la « vigilance renforcée » (enhanced due diligence) sur les clients ou les transactions financés par des portefeuilles non hébergés comme exemple de bonne pratique. Les commentaires sont ouverts jusqu’au 24 décembre 2026.

Le projet ne fixe aucun montant à partir duquel les contrôles s’enclenchent, et blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il n’interdit ni ne plafonne les transferts vers ou depuis un portefeuille crypto que le client contrôle. Le document précise que le Guide « ne contient aucune règle et n’impose aucune nouvelle exigence ». Il indique en revanche comment la FCA jugera les dispositifs de contrôle des entreprises une fois le régime crypto britannique lancé, le 25 octobre 2027, et il range deux pratiques parmi les mauvaises : arrêter un traçage après un nombre fixe de « sauts », et s’appuyer sur des scores d’analyse que personne dans l’entreprise ne sait expliquer.

L’approche diffère de celle de l’Union européenne, où une plateforme doit déjà vérifier, en vertu de la loi, si une adresse auto-hébergée appartient à son client dès qu’un transfert dépasse 1 000 €. Coindaro a lu les 91 pages du document de consultation, dont le texte du projet de Guide en annexe 1 ; la page web de la FCA, elle, ne fait que lister les sujets.

Le CP26/38 est la troisième consultation crypto de la FCA en une semaine. Le 21 octobre, le régulateur a ouvert ses consultations sur le périmètre de la réglementation et sur la finance décentralisée (DeFi), que nous avons traitées dans notre article sur la consultation de la FCA et les applications de routage d’ordres. Ce texte-là détermine qui doit obtenir une licence. Celui-ci porte sur la manière dont les entreprises agréées doivent lutter contre le blanchiment.

Ce que dit le projet de la FCA sur le portefeuille crypto non hébergé

Un portefeuille non hébergé, dit aussi auto-hébergé ou personnel, est un portefeuille crypto dont l’utilisateur détient lui-même les clés privées, au lieu de les confier à une plateforme ou à un conservateur. Les portefeuilles matériels et les applications non dépositaires sur mobile ou navigateur entrent dans cette catégorie. Notre fiche de glossaire sur l’auto-conservation (self-custody) explique la différence avec un compte ouvert sur une plateforme d’échange.

Le passage sur les portefeuilles figure au chapitre 3 du Guide, consacré au blanchiment d’argent et au financement du terrorisme, sous la référence FCG 3.2.8, la section sur la vigilance renforcée dans les situations à risque élevé. Le projet ajoute deux lignes à sa colonne des bonnes pratiques. La première décrit une entreprise qui examine à quel moment des clients ou des transactions liés à des crypto-actifs présentent un risque plus élevé et « applique une vigilance renforcée selon les cas, y compris pour les clients ou les transactions financés par des portefeuilles non hébergés ». La même ligne place dans la même catégorie les mixeurs, les « tumblers » et les cryptomonnaies orientées confidentialité. La seconde ligne est plus courte : l’entreprise applique une vigilance renforcée aux transactions impliquant des portefeuilles non hébergés.

La vigilance renforcée, ou EDD en anglais, est la couche de contrôle plus lourde que la législation britannique contre le blanchiment impose déjà dans les cas à risque élevé : davantage de questions sur l’origine des fonds, un suivi plus serré du compte, parfois la validation d’un dirigeant. Le projet ne précise pas quelles questions poser à propos d’un portefeuille personnel, et il ne dit pas qu’une entreprise doive prouver que le client est bien propriétaire du portefeuille. Ces détails sont laissés à chaque entreprise.

Les mots « selon les cas » comptent. La FCA ne dit pas que chaque dépôt venu d’un portefeuille personnel est suspect. Elle dit qu’une entreprise doit examiner quand de telles transactions présentent un risque plus élevé, puis agir en conséquence. Le Guide actuellement en vigueur mentionne déjà, au point FCG 3.2.7, des « transactions impliquant l’utilisation d’adresses auto-hébergées », selon le Handbook de la FCA. Le projet transforme cette mention en exemples de ce que l’autorité tient pour de bonnes pratiques.

Un cas est plus ferme. Au point FCG 3.2.7, qui énumère les situations où la réglementation britannique sur le blanchiment (Money Laundering Regulations) exige des mesures de vigilance renforcée précises, le projet inclut les transactions pour lesquelles les résultats d’une analyse de la blockchain révèlent une exposition à des activités criminelles ou sanctionnées. Dans ce cas, la vigilance renforcée « doit être effectuée », selon les termes du Guide.

Tracer les fonds : pas de nombre de sauts fixe, pas de score opaque

La deuxième modification porte sur la surveillance continue, au point FCG 3.2.5. Parmi les exemples de mauvaises pratiques, le projet décrit une entreprise crypto qui applique « une règle rigide sur le nombre de “sauts” ou de transferts pertinents qu’elle examine » sans tenir compte du risque. Un saut est une étape dans la chaîne de transferts entre adresses. Une limite fixe, par exemple deux sauts en amont d’un dépôt, arrête le contrôle au même endroit quoi que montrent les étapes précédentes.

Le projet ne fixe pas de chiffre. Il demande des mesures proportionnées au risque : une entreprise qui repère un mixeur ou une adresse signalée quelques étapes en amont devra peut-être poursuivre le traçage, alors qu’un historique court et propre n’en demande pas forcément davantage.

Un second exemple de mauvaise pratique vise l’analyse sous-traitée. Une entreprise qui utilise une technologie tierce dans ses contrôles « et n’est pas en mesure d’expliquer ou de justifier les constats établis ou les scores appliqués » ne remplit pas ses obligations, selon le projet. La ligne ne cite aucun fournisseur, mais elle correspond aux outils d’analyse de la blockchain dont les plateformes utilisent les scores de risque pour accepter ou bloquer des dépôts. Côté bonnes pratiques, le texte décrit une entreprise qui calibre ses outils selon ses propres risques et conserve une piste d’audit pour chaque règle et chaque décision.

Faire trop peu est également critiqué : le projet range parmi les mauvaises pratiques l’entreprise qui n’utilise aucune donnée ni aucune analyse de la blockchain dans sa surveillance continue, une fois l’activité crypto identifiée. Et dans la section sur les contrôles clients, au point FCG 3.2.4, il précise qu’une entreprise qui recourt à des outils tiers pour des volets essentiels de sa vigilance à l’égard de la clientèle ou de la surveillance des transactions « reste responsable » de leur contrôle et du respect de ses obligations.

Banques, émetteurs de stablecoins et règle de voyage (travel rule)

Les lignes sur les portefeuilles sont la partie la plus visible, mais les modifications crypto vont plus loin. Au point FCG 3.2.3, sur l’évaluation des risques, le projet demande à toute entreprise couverte par le chapitre, banques comprises, de tenir compte de l’endroit où opèrent les services crypto utilisés par un client lorsque le patrimoine ou les fonds de ce client proviennent de la crypto. L’exemple donné oppose une entreprise crypto régulée dans un pays à faible risque à une entreprise non régulée dans un pays à risque élevé. L’exposition à des produits anonymes, confidentiels ou décentralisés compte aussi.

Pour les stablecoins, le projet indique qu’un émetteur agréé au Royaume-Uni, ou le tiers qui exécute ses contrôles anti-blanchiment, doit contrôler le client dans un délai raisonnable à l’entrée en relation et au remboursement, et que le remboursement ne doit intervenir qu’une fois les obligations de lutte contre la criminalité financière remplies. Une ligne du point FCG 3.2.7 invite les entreprises à envisager de renforcer leurs contrôles lorsqu’elles sont exposées à des stablecoins éligibles émis hors du Royaume-Uni, en particulier si les règles qui s’y appliquent diffèrent des règles britanniques.

Sur la règle de voyage, qui s’applique aux transferts crypto britanniques depuis le 1^er septembre 2023, le projet ajoute des consignes pour les messages incomplets. Lorsque des informations requises sur l’expéditeur ou le destinataire sont incomplètes ou absentes, l’entreprise doit disposer d’un processus pour interroger la contrepartie, puis prendre une décision fondée sur le risque si l’information n’arrive toujours pas. Il rappelle aussi aux entreprises qu’elles doivent signaler à la FCA tout manquement persistant à la règle de voyage ; l’autorité avait déjà exposé ses attentes dans une déclaration de 2023 sur la règle de voyage appliquée aux crypto-actifs.

Pas une nouvelle règle, affirme la FCA, et aucune estimation de coût

Un texte d’orientation n’a pas le même poids juridique qu’une règle. Selon le document, le Guide rassemble des orientations générales, des exemples de bonnes et de mauvaises pratiques tirés de la supervision, et des questions d’autoévaluation. Les entreprises sont censées le lire et l’utiliser avec leur propre jugement. À l’annexe 2, le document ajoute que s’en écarter n’indique pas, en soi, une violation des règles de la FCA, point que CryptoSlate a aussi relevé dans son article du 26 octobre.

Non contraignant ne veut pas dire ignoré. La FCA écrit qu’elle attend des entreprises qu’elles aient lu et pris en compte le Guide, et elle présente les exemples crypto comme une aide pour celles qui préparent leur demande d’agrément.

Aucune analyse coûts-avantages n’accompagne le document. À l’annexe 2, la FCA affirme que les mises à jour « reflètent les attentes réglementaires existantes et les pratiques établies du secteur » et qu’elle ne prévoit ni hausse sensible du travail de conformité ni coûts importants pour les consommateurs.

Le document donne ses propres raisons pour la section crypto. L’évaluation nationale des risques du Royaume-Uni de 2025 a jugé élevé le risque de blanchiment lié aux crypto-actifs et moyen le risque de financement du terrorisme, et la FCA note que la rapidité des transferts transfrontaliers sur la blockchain rend la détection difficile. Beaucoup d’entreprises, ajoute-t-elle, découvriront ces obligations.

Le calendrier britannique : de l’enregistrement à l’agrément

Les plateformes d’échange crypto et les fournisseurs de portefeuilles de conservation doivent s’enregistrer auprès de la FCA au titre des Money Laundering Regulations depuis janvier 2020. Ce régime d’enregistrement va être remplacé. En vertu du Financial Services and Markets Act 2000 (Cryptoassets) Regulations 2026, les entreprises qui exercent des activités crypto réglementées au Royaume-Uni devront obtenir un agrément complet de la FCA à partir du 25 octobre 2027 et respecter les règles de la FCA en matière de criminalité financière, que le document dit avoir publiées dans le PS26/13.

Les demandes d’agrément ont ouvert le 30 septembre 2026 et ferment le 28 février 2027, selon les pages de la FCA consacrées au nouveau régime. La mise à jour du Financial Crime Guide doit aider les candidats à construire leurs contrôles avant de déposer leur dossier.

Royaume-Uni et UE : portefeuille crypto personnel, un guide face à une obligation légale

L’UE a choisi l’autre voie. En vertu du règlement sur les transferts de fonds (TFR), le règlement (UE) 2023/1113, applicable depuis le 30 décembre 2024, un prestataire de services sur crypto-actifs (CASP) qui envoie vers une adresse auto-hébergée, ou en reçoit, doit recueillir des informations sur le transfert. Au-delà de 1 000 €, il doit aussi prendre des mesures pour évaluer si cette adresse appartient à son propre client ou est contrôlée par lui (articles 14 et 16).

L’Autorité bancaire européenne (ABE) a publié en juillet 2024 des orientations sur la règle de voyage qui précisent comment mener cette vérification de propriété. Des sources secondaires décrivent de façon divergente le nombre de méthodes de vérification exigé par le texte final, et Coindaro n’a pas vérifié ce point dans le document de l’ABE ; nous ne l’affirmons donc pas ici.

Un utilisateur français qui retire plus de 1 000 € d’une plateforme vers son portefeuille personnel peut donc déjà devoir prouver que ce portefeuille est le sien ; la façon dont la plateforme le vérifie varie. En France, l’AMF et l’ACPR supervisent les entreprises crypto dans le cadre de MiCA. L’UE ira plus loin à partir du 10 juillet 2027, date à laquelle le règlement européen sur la lutte contre le blanchiment (AMLR) interdira les comptes crypto anonymes, comme l’indique notre page d’événement sur le règlement européen anti-blanchiment.

D’autres pays se sont montrés plus durs. La Russie mettra fin au commerce crypto de pair à pair entre particuliers le 1^er juillet 2027, et sa banque centrale affirme qu’une personne ne pourra pas déplacer des pièces d’un compte régulé vers son propre portefeuille non dépositaire, comme nous l’avons rapporté dans notre article sur les restrictions russes sur le P2P et les portefeuilles. À côté de cela, et à côté du seuil européen, le projet britannique est le plus léger des trois : il laisse le transfert possible et demande à l’entreprise d’apprécier le risque.

Ce qui change pour un utilisateur britannique qui retire vers son portefeuille crypto

Rien ne change aujourd’hui. Le CP26/38 est un projet, et le Guide définitif ne paraîtra qu’avec un Policy Statement dont la FCA n’a pas donné la date.

Si le texte reste en l’état, une plateforme britannique qui reçoit des pièces depuis le portefeuille d’un client sera plus susceptible de demander d’où elles viennent, surtout si elles sont passées par un mixeur ou ont touché une cryptomonnaie de confidentialité. Être interrogé n’est pas une accusation. Le projet complique aussi la tâche d’une plateforme qui voudrait justifier un refus par le seul score d’un fournisseur que ses propres équipes ne savent pas expliquer.

Sans seuil dans le projet, un petit dépôt peut susciter des questions si d’autres facteurs de risque apparaissent, et un gros dépôt peut passer sans heurt si l’historique est propre. C’est la contrepartie d’un modèle fondé sur le risque : moins de contrôles automatiques, plus de marge pour chaque entreprise, moins de prévisibilité pour l’utilisateur. Pour les bases de la conservation et les types de portefeuilles, voir notre guide les portefeuilles crypto expliqués.

Comment répondre à la consultation, et ce qui reste inconnu

Les réponses passent par le formulaire en ligne de la page de la FCA, ou par courriel à [email protected] pour ceux qui ne peuvent pas l’utiliser. L’annexe 1 du document liste cinq questions, dont celle de savoir si les répondants approuvent la rédaction et s’ils prévoient des conséquences involontaires. La FCA publiera ses retours avec le texte final du Guide dans un Policy Statement.

Plusieurs points restent ouverts. Le projet ne dit pas comment une entreprise doit établir qu’un portefeuille personnel est lié à son client, si tant est qu’elle doive le faire. Il ne distingue pas les dépôts des retraits au-delà de l’expression « financées par des portefeuilles non hébergés » dans une ligne et « impliquant des portefeuilles non hébergés » dans l’autre. Aucun organisme professionnel britannique n’avait publié de réaction au 26 octobre, pour autant que Coindaro ait pu le constater. Les commentaires sont ouverts jusqu’au 24 décembre 2026 ; le régime auquel ils préparent commence le 25 octobre 2027.