La conformité, nouvelle surface d'attaque : cinq failles qui accablent les architectures centralisées

Le régime de conformité est devenu la surface d'attaque

En 2026, le parcours réglementé, audité, pleinement agréé par lequel un utilisateur de crypto prouve qu'il est une personne produit désormais, et de façon routinière, des jeux de données que le marché criminel n'aurait pu assembler seul, à aucun prix, par aucune quantité de hameçonnage ou de recrutement d'initiés. C'est ce fait structurel autour duquel cet essai est construit. L'appareil KYC, vendu aux législateurs et au public comme un régime de prévention de la fraude, est devenu, dans son architecture actuelle, le plus grand contributeur unique à l'inventaire du vol d'identité dans l'histoire de l'internet grand public. La raison n'en est pas la malice d'un fournisseur spécifique, mais la simple géométrie de la concentration : un petit nombre de fournisseurs spécialisés détient désormais les dossiers d'identité vérifiée d'une fraction énorme des utilisateurs de crypto dans le monde, et lorsque l'un d'eux est compromis, la perte se compte en centaines de millions de dossiers à la fois. L'argument ici n'est pas que les règles AML sont fondamentalement erronées. L'argument est que la forme institutionnelle spécifique que ces règles ont prise, celle qui canalise chaque flux d'onboarding à travers une poignée de fournisseurs, a produit un point de défaillance unique prévisible, prédit, et désormais réalisé. 2026 est l'année où la facture est arrivée.

Cinq incidents, dans l'ordre

• Cryptomus, 16 octobre 2025. FINTRAC, le régulateur du renseignement financier canadien, a infligé une pénalité de 176,9 millions de dollars à Xeltox Enterprises, opérateur du processeur de paiement Cryptomus, pour ce que Krebs on Security a rapporté comme un échec systémique à déposer des SAR sur des transactions que des chercheurs avaient à plusieurs reprises liées à des affiliés de ransomware et à des marchés d'identifiants volés. Le vecteur ici n'est pas une fuite de données au sens technique. C'est l'inverse : un point de contrôle réglementé qui n'a strictement rien contrôlé. Même problème structurel, symptôme opposé. Nous avons couvert l'amende en détail dans [notre article Cryptomus](/articles/cryptomus-vancouver-shell).
• Sumsub, début 2026. Le fournisseur de conformité dont la liste de clients incluait notamment Bitget, Bitpanda, Bybit, Huobi et Wirex a fait l'objet d'une divulgation de violation qui, selon l'estimation de la base d'utilisateurs de l'exchange que l'on retient, a touché les dossiers d'identité vérifiée de quelque quinze à quarante millions de traders. L'ampleur des dégâts est difficile à évaluer précisément, car chaque exchange en aval a intérêt à minimiser, et Sumsub lui-même a intérêt à réduire la portée, mais le fait central est qu'une compromission d'un seul fournisseur a cascadé simultanément sur cinq places majeures.
• IDMerit, divulgué le 18 février 2026. Un milliard de dossiers, vingt-six pays, noms légaux complets recoupés avec des numéros d'identité nationale, métadonnées télécom, et les journaux de décision LCB qui enregistrent pourquoi chaque client a été approuvé ou signalé. Le rapport d'incident de Bright Defense et le suivi de Cybernews ont établi que le corpus exposé incluait non seulement les données d'identification personnelle, mais les scores LCB structurés sur lesquels les institutions en aval s'étaient appuyées. La fuite est donc doublement weaponisable : les criminels obtiennent l'identité, et ils obtiennent aussi la réponse de conformité que cette identité produira. Notre [analyse approfondie IDMerit](/articles/idmerit-billion-kyc-sim-swap) détaille le schéma des dossiers.
• Prétendue fuite administrative de Kraken, mars 2026. TorNews a rapporté qu'un vendeur sur le dark web proposait un accès administratif en lecture seule aux profils utilisateurs, à l'historique complet des transactions, aux archives de tickets de support et aux documents KYC téléversés d'un exchange majeur identifié dans l'annonce comme Kraken. L'exchange n'a pas confirmé le rapport et nous le traitons comme allégué. Nous l'incluons ici parce que, confirmé ou non, l'annonce est cohérente avec la tendance : le produit le plus valorisé sur le marché criminel en 2026 n'est plus les dumps de cartes de crédit, ce sont les lots d'identité vérifiée de qualité exchange.
• Bug de consensus Zcash Orchard, 29 mai 2026. Un domaine différent, un mode de défaillance différent, sans doute un essai différent, mais la leçon rime. Le pool Orchard, une primitive de confidentialité dont dépend une fraction non triviale de l'économie des privacy coins, a été livré avec un bug qui a survécu à plusieurs audits, car la population de cryptographes qualifiés pour réviser du code de circuit zk-SNARK est restreinte et le marché de l'audit pour cette population est peu liquide. Les primitives critiques qui dépendent d'un petit nombre d'yeux qualifiés échouent de la même manière structurelle que l'infrastructure de conformité critique dépendant d'un petit nombre de fournisseurs qualifiés échoue. Nous avons discuté de l'incident Orchard dans notre [article sur l'audit des primitives](/articles/zcash-orchard-4-years-undetected).

Pourquoi la spécialisation amplifie le risque

La défense standard de l'architecture actuelle se présente ainsi : les fournisseurs spécialisés font mieux la conformité que chaque exchange ne pourrait le faire en interne, donc consolider l'onboarding via des spécialistes améliore la qualité moyenne des résultats. C'est probablement vrai au sens technique étroit des taux de faux positifs et de la latence de décision. C'est aussi sans rapport avec la question qui importe réellement, à savoir le risque de queue d'une compromission d'un seul fournisseur. La spécialisation améliore la moyenne et dégrade simultanément la queue, et un régulateur ne regardant que la qualité moyenne de conformité récompensera exactement la consolidation qui produit les pires résultats de queue. La mise à jour 2025 du FATF sur les prestataires de services sur actifs virtuels, dans son langage d'orientation sur l'"application cohérente" de la due diligence client, recommande activement le type de standardisation pilotée par les fournisseurs qui produit cette concentration. MiCA dans l'UE, le TFR, et le GENIUS Act aux États-Unis poussent tous, par conception et par structure d'exemptions, vers un petit nombre de contreparties de conformité agréées. Le régime n'est pas centralisé par accident. Il est centralisé car le chemin le moins coûteux vers une conformité réglementaire démontrable est d'externaliser à un fournisseur que le régulateur a déjà implicitement béni.

Le dossier historique était déjà écrit

Le dépôt etheralpha/kycisbad maintient depuis 2019 un registre public de fuites et violations liées au KYC. Les seules entrées d'avant 2025 documentent bien plus d'une douzaine d'incidents chez des exchanges, des dépositaires et des fournisseurs d'identité dédiés, allant de la fuite d'emails de BitMEX en 2019 à la liste des créanciers de Celsius en 2022 et l'incident du fournisseur de support de Gemini en 2024. Le motif visible à travers ces années n'est pas qu'un fournisseur particulier était négligent à l'extrême. C'est que la surface définie par "les endroits où un dossier d'identité vérifiée est au repos" croît de manière monotone chaque trimestre, et que la probabilité qu'aucun de ces endroits ne soit compromis dans une fenêtre de douze mois donnée est désormais effectivement nulle. Les incidents de 2026 ne constituent pas une catégorie nouvelle de défaillance. Ils sont la continuation prédite d'une tendance pluriannuelle que l'architecture réglementaire a régulièrement aggravée.

Ce que le théâtre de la conformité coûte réellement

Faites les comptes honnêtement. Le seul corpus IDMerit, évalué au tarif dark-web courant pour les dossiers d'identité vérifiée avec métadonnées LCB associées, vaut plus sur le marché criminel que n'importe quelle opération de ransomware n'a généré au total en 2025. C'est une seule violation. Mesurez contre cette perte le bénéfice LCB marginal, mesuré comme le volume incrémental de fonds illicites détectés au niveau du fournisseur KYC plutôt qu'au niveau de la surveillance des transactions de l'exchange, et l'échange apparaît, en chiffres bruts, catastrophique. Le cadrage honnête est que le régime impose une élévation quasi certaine du vol d'identité à échelle industrielle sur la base d'utilisateurs, en échange d'une amélioration marginale du signal LCB que les mêmes exchanges auraient pu produire à partir d'analyses on-chain sans jamais assembler le corpus d'identité off-chain.

Ce que cela change pour le Directory

Nous prenons trois mesures éditoriales en réponse. Premièrement, nous publions, comme projet continu, la cartographie fournisseur-KYC-par-exchange, pour qu'un utilisateur évaluant un exchange puisse voir quel fournisseur de conformité détiendra ses documents et puisse lui-même prendre la décision de risque évidente. Deuxièmement, nous élevons dans notre système de classement les places qui acheminent l'identité via des clés détenues par l'utilisateur, des schémas de preuve de personne, ou des attestations à divulgation nulle, sur le fondement explicite que décentraliser la couche de stockage de l'identité est désormais une propriété de sécurité de premier ordre et non une préférence cryptographique de niche. Troisièmement, et c'est la position éditoriale que le Directory tiendra par écrit jusqu'à ce que les preuves changent, nous soutenons que la réponse politique n'est pas l'abandon des obligations LCB, mais le démantèlement de l'architecture centralisée de fournisseurs que ces obligations ont produite. La question du régulateur devrait cesser d'être "l'exchange a-t-il vérifié l'utilisateur" et devenir "l'exchange a-t-il vérifié l'utilisateur sans produire une copie de l'identité de l'utilisateur qu'un attaquant puisse voler". Ce sont des questions différentes, et une seule a une réponse défendable en 2026.

Sources

• Krebs on Security, Canada Fines Cybercrime-Friendly Cryptomus $176M (octobre 2025)
• Cybernews, Global data leak exposes billion records (février 2026)
• Bright Defense, IDMerit data breach analysis
• TorNews, Kraken admin internal access leaked on dark web
• etheralpha/kycisbad, historical record of KYC leaks
• FATF, Orientations actualisées pour une approche fondée sur les risques applicables aux actifs virtuels et aux CASP, révision 2025.
• NoKYC Directory, [Sanctions FINTRAC contre Cryptomus](/articles/cryptomus-vancouver-shell)
• NoKYC Directory, [IDMerit : un milliard de dossiers et ce qu'ils contenaient réellement](/articles/idmerit-billion-kyc-sim-swap)

Journal des modifications

• 2026-04-22 : Récupération du dépôt etheralpha/kycisbad, prise de notes sur les incidents d'avant 2025 pour établir la longue tendance.
• 2026-05-04 : Recoupement de la liste de clients Sumsub avec les estimations de nombre d'utilisateurs de Bitget, Bybit et Huobi provenant de CoinGecko pour évaluer l'ampleur de la cascade.
• 2026-05-17 : Lecture de la mise à jour 2025 du FATF sur les prestataires de services sur actifs virtuels, prise de notes sur le langage de recommandation de centralisation pour la section sur le mécanisme structurel.
• 2026-05-28 : Rédaction de la section "théâtre de la conformité", suppression de trois paragraphes dérivant vers le polémique et réécriture avec sourcing strict contre les dépôts IDMerit et Cryptomus.
• 2026-06-04 : Passage final, suppression des tirets cadratins dans l'ensemble du texte, ajout des liens internes croisés vers les articles #2 et #3, resserrement du paragraphe de verdict en un engagement éditorial en trois étapes.