Lorsqu’une plateforme écrit sur son site « nous utilisons un chiffrement de niveau bancaire et respectons le RGPD », il s’agit d’une formule marketing, et non de la description de l’architecture réelle de stockage des données.
Juridiquement — ils ont raison.
Techniquement — la réalité est bien plus complexe et plus dangereuse pour l’utilisateur.
C’est précisément cet écart entre la sécurité déclarée et la pratique réelle qu’il faut analyser.
1. Comment les données sont réellement stockées — sans discours publicitaire
1.1. Le KYC n’est presque jamais « à l’intérieur de la plateforme »
La majorité des grandes CEX ne disposent pas de leur propre infrastructure KYC. C’est peu rentable, coûteux et juridiquement risqué.
Elles font donc appel à des prestataires :
- Onfido
- Jumio
- Sumsub
- Trulioo
- IDnow
Le schéma est le suivant :
- Vous téléversez votre passeport et votre selfie non pas sur les serveurs de la plateforme, mais dans le cloud du fournisseur KYC
- Les documents sont traités par de l’IA + une modération humaine
- La plateforme reçoit :
- un statut (verified / rejected)
- des métadonnées
- souvent des copies des documents eux-mêmes
⚠️ Point clé :
Un seul piratage ou une seule fuite chez le prestataire = compromission de dizaines de plateformes en même temps.
C’est un risque systémique que les plateformes préfèrent taire.
1.2. « Supprimer un compte » ne signifie pas supprimer les données
Selon les exigences AML/CFT :
- UE : 5 ans
- Royaume-Uni : jusqu’à 6 ans
- États-Unis : 5 à 10 ans
- Certaines juridictions : jusqu’à 12 ans
Même si :
- vous fermez votre compte
- supprimez votre profil
- écrivez au support
👉 votre passeport, vos selfies et votre proof of address restent archivés.
L’architecture est généralement la suivante :
- Stockage chaud — utilisateurs actifs, accès du support
- Stockage tiède — comptes récemment fermés
- Archives froides — stockages hors ligne (S3 Glacier, sauvegardes sur bande, air-gapped storage)
Mais il existe une nuance rarement évoquée :
Lors de toute « enquête », vérification supplémentaire ou demande du régulateur,
les données reviennent en zone chaude, où des personnes y ont accès.
1.3. Insider Threat — le véritable cauchemar de l’industrie
La partie la plus vulnérable du système, c’est l’humain.
En pratique :
- le support est souvent externalisé
- les salaires sont bas
- les contrôles sont formels
- les audits sont ponctuels
Géographie typique :
- Philippines
- Inde
- Europe de l’Est
- Amérique latine
Un opérateur du support peut voir :
- le passeport
- le selfie
- l’adresse
- les logs IP
- l’historique des connexions
- parfois les transactions
💡 Fait peu connu :
Sur certaines plateformes, un seul opérateur peut gérer 5 à 10 projets simultanément (via un même prestataire).
Cela implique un accès croisé entre écosystèmes.
2. Fuites et incidents : ce qui s’est réellement produit
2.1. Binance (2019)
Ont fuité sur le réseau :
- des photos d’utilisateurs avec leur passeport
- des selfies avec des feuilles « Binance »
Déclaration de la plateforme :
« Il s’agit d’une fuite du côté d’un ancien prestataire KYC »
Points importants :
- les données sont apparues un an après le changement de prestataire
- les hackers exigeaient 300 BTC
- une partie des données circule encore aujourd’hui dans des bases privées
2.2. Coinbase (2024–2025)
L’un des cas les plus révélateurs.
Pas un piratage.
Pas un bug.
La corruption de collaborateurs.
- des prestataires du support ont été recrutés
- accès aux panels administrateurs
- données d’environ 70 000 utilisateurs exfiltrées
Y compris :
- documents d’identité
- adresses
- historique KYC
- annotations internes de l’équipe risk
C’est un exemple classique de insider breach, impossible à prévenir par le seul chiffrement.
2.3. Genesis Market (2023) — signal d’alarme
Genesis Market ne vendait pas seulement des documents.
Il vendait :
- des cookies
- des empreintes de navigateur
- des sessions
- des photos KYC
- des schémas comportementaux
Résultat :
- le hacker se connectait au compte
- le 2FA ne se déclenchait pas
- le système voyait un « appareil de confiance »
👉 Cela a montré que KYC + analytique comportementale peuvent être utilisés contre l’utilisateur.
2.4. Bot Telegram BTC-e / WEX (2020)
L’un des cas les plus sous-estimés.
La base comprenait :
- des passeports
- des adresses
- des emails
- des commentaires internes des employés
Exemples de mentions :
- « suspect »
- « probablement cash-out »
- « lien possible »
⚠️ Ces annotations ne sont pas supprimées, ne sont pas réinitialisées et peuvent ressurgir des années plus tard.
3. États et plateformes : bien plus que des demandes officielles
3.1. Passerelles semi-automatisées
Les grandes CEX aux États-Unis et dans l’UE utilisent des systèmes où :
- la demande émane des forces de l’ordre
- la vérification du format est automatique
- la réponse arrive en quelques heures
Les juristes interviennent a posteriori.
Ce n’est plus une procédure manuelle, mais un processus de type API.
3.2. CARF — la fin de l’anonymat « discret »
Crypto-Asset Reporting Framework :
- mise en œuvre : 2026–2027
- échange automatique
- soldes
- profits
- mouvements de fonds
À noter :
- même sans fiat
- même sans retrait
- même si vous détenez simplement des actifs
👉 La plateforme devient un informateur fiscal, et non plus un simple service.
3.3. Listes noires et Source of Wealth
Il suffit :
- d’un lien indirect
- via un mixer
- via la DeFi
- via 5 à 10 sauts
Et vous obtenez :
- un gel
- une demande de SoW
- l’impossibilité de prouver des opérations passées
À ce moment-là, la plateforme n’est pas votre alliée, mais l’exécutant du régulateur.
4. IA et responsabilité collective
Depuis 2025, sont activement déployés :
- des modèles de graphes
- la clusterisation des utilisateurs
- des scorings réputationnels
Si vous interagissez avec un compte « signalé » :
- votre profil hérite du risque
- les limites sont réduites
- les contrôles se multiplient
Il s’agit déjà de social scoring, et non d’un AML classique.
Conclusions brèves mais dures
- Le KYC est définitif, même après la fermeture du compte
- La principale menace, ce sont les humains, pas les serveurs
- Les fuites sont systémiques, pas accidentelles
- En 2026, une CEX = un point de surveillance financière totale
Ce n’est pas une théorie.
C’est une réalité déjà opérationnelle.
5. Détails peu connus mais critiques dont on parle rarement
Voici la partie que même les médias spécialisés publient rarement, car elle est inconfortable à la fois pour les plateformes et pour les régulateurs.
5.1. « Vie secondaire » de vos données KYC
Après la vérification initiale, les données ne restent pas inactives.
Elles sont réutilisées pour :
- former des modèles internes anti-fraude
- calibrer le score de risque
- des analyses rétrospectives (« ne nous sommes-nous pas trompés à l'époque ? »)
💡 Fait peu connu :
Dans certaines juridictions, l’anonymisation KYC n’est que formelle. En pratique, les données :
- sont partiellement hachées
- sont tokenisées
- mais peuvent être récupérées via des clés internes de conformité
Autrement dit, l’« anonymisation » est souvent réversible.
5.2. « Profils noirs » internes
Sur les grandes plateformes, il existe des profils de risque internes que l’utilisateur ne voit jamais :
Exemples de paramètres :
- « probabilité d’attention réglementaire »
- « instabilité comportementale »
- « changement atypique de patterns »
- « anomalies géographiques »
Ces profils :
- ne sont pas supprimés
- ne sont pas réinitialisés
- sont transférés lors de fusions, ventes d’entreprise ou changement de juridiction
👉 Même lorsque la plateforme « change de pays », la base de données suit.
5.3. Fusions, acquisitions et transfert de bases de données
Le RGPD autorise le transfert de données personnelles en cas de :
- achat d’entreprise
- restructuration
- faillite
- transfert d’actifs
Concrètement, cela signifie :
- vous avez passé le KYC sur une plateforme
- trois ans plus tard, elle est rachetée
- votre passeport se retrouve légalement chez une autre société
Et vous n’êtes pas obligé de redonner votre consentement.
5.4. Les logs – la source de fuite la plus sous-estimée
Même si les documents sont chiffrés, restent :
- logs d’accès
- logs d’audit
- logs de débogage
- erreurs API
Ceux-ci contiennent souvent :
- le nom du fichier du passeport
- le pays
- le type de document
- la date de naissance
- parfois des fragments base64
⚠️ Ces logs :
- sont rarement nettoyés
- souvent accessibles aux DevOps et aux prestataires
- sont conservés pendant des années
6. Pourquoi « anonymat nul » n’est pas un slogan, mais une réalité architecturale
6.1. Combinaison KYC + analyse on-chain
Aujourd’hui, chaque grande plateforme utilise :
- Chainalysis
- TRM Labs
- Elliptic
- Crystal
Le modèle est simple :
- KYC → identité réelle
- Adresses → graphe des connexions
- Comportement → profil
Ensuite, le système fonctionne automatiquement.
Même si vous :
- avez changé d’adresse
- utilisé DeFi
- effectué 20 étapes intermédiaires
le graphe se réduit quand même.
6.2. La réputation comme attribut à vie
Fait peu connu mais important :
Le risque réputationnel est hérité.
Si :
- votre ancien compte avait un flag
- vous avez passé un nouveau KYC
- vous utilisez la même juridiction ou le même appareil
Le système relie les profils probabilistiquement, pas formellement.
Ce n’est plus un « compte », mais une ombre numérique.
7. Conclusions pratiques sans moralisation
Sans slogans et sans appels.
Ce qu’il est important de comprendre :
- Une CEX majeure n’est ni un portefeuille ni une banque.
C’est un nœud de surveillance. - Supprimer un compte ≠ supprimer les données.
- L’intérêt réglementaire ne disparaît pas avec le temps.
Il s’accumule. - Les technologies de contrôle dépassent les garanties légales.
Ce qu’il ne faut pas faire (erreurs fréquentes) :
- penser que « les petites sommes n’intéressent personne »
- croire que « une plateforme = une base »
- croire qu’un changement de compte résout le problème
- ignorer les métadonnées comportementales
8. Conclusion principale
Le KYC sur les grandes plateformes n’est pas seulement une vérification d’identité.
C’est le point d’entrée dans un système à long terme :
- stockage
- analyse
- corrélation
- transfert
Et ce système ne l’oublie jamais.
