Les cryptomonnaies ont connu une croissance fulgurante ces dernières années, attirant de nombreux investisseurs. Cependant, cette popularité s’est accompagnée d’une recrudescence des vols et piratages de portefeuilles numériques. En Suisse, pays à la pointe de la réglementation des actifs numériques, ces incidents soulèvent des questions juridiques complexes. Entre responsabilité des plateformes d’échange, sécurité des systèmes et droits des utilisateurs, les litiges liés aux cryptomonnaies mettent à l’épreuve le cadre légal helvétique.
Le cadre juridique suisse face aux vols de cryptomonnaies
La Suisse s’est positionnée comme un pays pionnier dans l’encadrement légal des cryptoactifs. Dès 2018, l’Autorité fédérale de surveillance des marchés financiers (FINMA) a publié des lignes directrices sur le traitement réglementaire des ICO, posant les bases d’un cadre juridique adapté. En 2021, l’entrée en vigueur de la loi sur les services financiers (LSFin) et de la loi sur les établissements financiers (LEFin) a renforcé la protection des investisseurs et la surveillance des prestataires de services liés aux cryptomonnaies.
Concernant spécifiquement les vols et piratages, le droit pénal suisse s’applique. L’article 143bis du Code pénal réprime l’accès indu à un système informatique, tandis que l’article 144bis sanctionne la détérioration de données. Le vol de cryptomonnaies peut ainsi être poursuivi sur ces bases légales. Toutefois, la nature immatérielle et décentralisée des cryptoactifs soulève des défis d’interprétation pour les tribunaux.
La responsabilité civile des plateformes d’échange est encadrée par le Code des obligations. En cas de négligence dans la sécurisation des fonds des clients, leur responsabilité contractuelle peut être engagée. Néanmoins, la jurisprudence reste à construire sur ces questions nouvelles.
Points clés du cadre juridique suisse :
- Loi sur les services financiers (LSFin) et loi sur les établissements financiers (LEFin) applicables aux prestataires crypto
- Articles 143bis et 144bis du Code pénal pour la répression des piratages
- Responsabilité contractuelle des plateformes selon le Code des obligations
- Lignes directrices de la FINMA sur le traitement réglementaire des ICO
Typologie des vols et hacks de portefeuilles numériques
Les vols et piratages de cryptomonnaies prennent des formes variées, exploitant les failles techniques ou humaines des systèmes. Parmi les méthodes les plus courantes, on trouve :
Le phishing : Les pirates se font passer pour des sites ou services légitimes afin de dérober les identifiants des utilisateurs. Ils créent des copies quasi-parfaites de plateformes d’échange ou de portefeuilles en ligne, incitant les victimes à y saisir leurs informations de connexion.
Les attaques par force brute : Les hackers tentent de deviner les clés privées des portefeuilles en testant un grand nombre de combinaisons. Bien que peu efficace sur les portefeuilles bien sécurisés, cette méthode peut fonctionner sur des mots de passe faibles.
L’exploitation de failles de sécurité : Les pirates ciblent les vulnérabilités des smart contracts, des protocoles blockchain ou des plateformes d’échange pour détourner des fonds. L’attaque du DAO en 2016 sur Ethereum en est un exemple emblématique.
Le SIM swapping : Les fraudeurs prennent le contrôle du numéro de téléphone de la victime pour contourner l’authentification à deux facteurs et accéder à ses comptes.
Les malwares : Des logiciels malveillants sont conçus pour intercepter les transactions ou voler les clés privées stockées sur les appareils infectés.
Méthodes de vol les plus fréquentes :
- Phishing et ingénierie sociale
- Attaques par force brute sur les mots de passe
- Exploitation de failles dans les smart contracts
- SIM swapping pour contourner l’authentification
- Malwares ciblant les portefeuilles numériques
Responsabilité des plateformes d’échange en cas de piratage
La question de la responsabilité des plateformes d’échange de cryptomonnaies en cas de piratage est centrale dans de nombreux litiges. En droit suisse, ces plateformes sont soumises à des obligations de diligence et de sécurité envers leurs clients.
Selon la LSFin, les prestataires de services financiers doivent agir de manière prudente et diligente dans l’intérêt de leurs clients. Cela implique la mise en place de mesures de sécurité adéquates pour protéger les actifs numériques des utilisateurs. En cas de manquement à ces obligations, la responsabilité contractuelle de la plateforme peut être engagée sur le fondement du Code des obligations.
Toutefois, la jurisprudence suisse n’a pas encore clairement établi l’étendue de cette responsabilité. Les tribunaux devront déterminer le niveau de sécurité exigible des plateformes, en tenant compte de l’état de l’art technologique et des risques inhérents aux cryptomonnaies.
Certaines plateformes incluent dans leurs conditions générales des clauses limitant leur responsabilité en cas de piratage. La validité de ces clauses pourrait être contestée au regard du droit de la consommation suisse, notamment si elles sont jugées abusives.
Par ailleurs, la question de la qualification juridique des cryptomonnaies impacte la responsabilité des plateformes. Selon qu’elles sont considérées comme des valeurs mobilières, des moyens de paiement ou des biens incorporels, les obligations des prestataires peuvent varier.
Éléments clés de la responsabilité des plateformes :
- Obligations de diligence et de sécurité issues de la LSFin
- Responsabilité contractuelle fondée sur le Code des obligations
- Débat sur la validité des clauses limitatives de responsabilité
- Impact de la qualification juridique des cryptomonnaies
- Nécessité d’une jurisprudence pour clarifier l’étendue des obligations
Recours juridiques pour les victimes de vols de cryptomonnaies
Les victimes de vols ou de piratages de cryptomonnaies en Suisse disposent de plusieurs voies de recours, bien que l’efficacité de ces dernières reste à éprouver dans la pratique.
La plainte pénale est souvent la première démarche entreprise. Elle peut être déposée auprès du Ministère public cantonal compétent. Les infractions visées peuvent inclure l’accès indu à un système informatique (art. 143bis CP), la soustraction de données (art. 143 CP) ou l’utilisation frauduleuse d’un ordinateur (art. 147 CP). L’enjeu majeur réside dans l’identification des auteurs, souvent complexe dans le cas de cyberattaques.
L’action civile peut être intentée contre la plateforme d’échange si une négligence de sa part est suspectée. Fondée sur la responsabilité contractuelle, cette action vise à obtenir des dommages et intérêts. La victime devra démontrer le manquement de la plateforme à ses obligations de sécurité et le lien de causalité avec le préjudice subi.
Le recours à la médiation est une option encouragée par la FINMA. Certaines plateformes d’échange adhèrent à des organes de médiation reconnus, offrant une voie de résolution des litiges plus rapide et moins coûteuse que la procédure judiciaire.
La procédure de faillite peut être envisagée si la plateforme est insolvable suite à un piratage massif. Les créanciers, dont les victimes, peuvent alors produire leurs créances dans la masse en faillite.
Enfin, la coopération internationale est souvent nécessaire, les auteurs de cyberattaques agissant fréquemment depuis l’étranger. Les autorités suisses peuvent solliciter l’entraide judiciaire d’autres pays pour mener les enquêtes.
Options de recours pour les victimes :
- Dépôt d’une plainte pénale auprès du Ministère public
- Action civile contre la plateforme d’échange
- Recours à la médiation via des organes reconnus
- Production de créances dans une éventuelle procédure de faillite
- Coopération internationale pour les enquêtes transfrontalières
Enjeux actuels et évolution du cadre juridique
La multiplication des litiges liés aux vols et piratages de cryptomonnaies soulève des questions juridiques complexes que le droit suisse s’efforce d’appréhender. L’évolution rapide des technologies blockchain et des méthodes de piratage nécessite une adaptation constante du cadre légal.
Un des défis majeurs réside dans la qualification juridique des cryptoactifs. Leur nature hybride, à la fois bien numérique et instrument financier, complique l’application des règles traditionnelles du droit des biens ou du droit bancaire. La FINMA travaille actuellement sur une clarification de cette qualification, ce qui pourrait impacter significativement le traitement juridique des litiges.
La question de la compétence juridictionnelle se pose avec acuité dans le cas d’attaques transfrontalières. Les tribunaux suisses doivent déterminer leur compétence face à des litiges impliquant des plateformes étrangères ou des pirates opérant depuis l’étranger. Des accords de coopération judiciaire renforcée pourraient être nécessaires pour améliorer l’efficacité des poursuites.
L’émergence de la finance décentralisée (DeFi) soulève de nouvelles interrogations juridiques. En l’absence d’intermédiaire centralisé, la détermination des responsabilités en cas de piratage devient plus complexe. Le législateur suisse pourrait être amené à créer un cadre spécifique pour ces protocoles décentralisés.
Enfin, le renforcement des obligations de cybersécurité pour les acteurs du secteur crypto est à l’étude. Des standards minimums de sécurité pourraient être imposés aux plateformes d’échange et aux fournisseurs de portefeuilles, à l’instar de ce qui existe dans le secteur bancaire traditionnel.
Dans ce contexte mouvant, le rôle des avocats spécialisés en droit des technologies financières s’avère déterminant. Leur expertise permet d’anticiper les évolutions réglementaires, de conseiller les acteurs du secteur sur leurs obligations et de représenter efficacement les intérêts des victimes de piratages. Leur intervention est précieuse pour naviguer dans la complexité juridique des litiges liés aux cryptomonnaies et contribuer à l’élaboration d’un cadre légal adapté aux défis du numérique.
Points d’attention pour l’évolution du cadre juridique :
- Clarification de la qualification juridique des cryptoactifs
- Résolution des questions de compétence juridictionnelle
- Adaptation du droit à l’émergence de la finance décentralisée
- Renforcement des obligations de cybersécurité pour les acteurs du secteur
- Rôle croissant des avocats spécialisés en droit des technologies financières
