LCB-FT des prestataires sur crypto-actifs

Un prestataire de services sur crypto-actifs (PSCA) agréé au titre de MiCA applique le dispositif français de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT), sous le contrôle de l’ACPR. ORWL Avocats construit ce dispositif avec ses équipes, l’audite et le défend, de la demande d’agrément au contrôle sur place.

Qui est assujetti et qui contrôle ?

Les PSCA figurent parmi les personnes assujetties à la LCB-FT (code monétaire et financier, art. L. 561-2). Ils appliquent toutes les obligations de vigilance et de déclaration du code, ainsi que les règlements européens d’application directe : le règlement TFR sur les informations qui accompagnent les transferts de fonds et de crypto-actifs (la « travel rule »), les règlements de sanctions et, à partir du 10 juillet 2027, le règlement AMLR.

Quatre autorités interviennent, chacune dans son rôle :

• l’ACPR contrôle le respect des obligations LCB-FT et des mesures de gel par les PSCA ; elle peut mettre en demeure, prendre des mesures conservatoires et saisir sa Commission des sanctions ; seuls les PSCA agréés pour la seule gestion de portefeuille ou le seul conseil en crypto-actifs relèvent de l’AMF ;
• l’AMF délivre l’agrément MiCA après avis de l’ACPR sur le volet LCB-FT du dossier ; les engagements pris dans ce dossier lient ensuite le prestataire ;
• Tracfin reçoit les déclarations de soupçon, adresse des droits de communication et des appels à vigilance, et peut s’opposer pendant dix jours ouvrables à l’exécution d’une opération ;
• la direction générale du Trésor met en œuvre le gel des avoirs et reçoit les déclarations de gel.

Le périmètre LCB-FT d’un PSCA dépasse donc l’anti-blanchiment au sens strict. Il couvre le financement du terrorisme, les sanctions internationales et, de plus en plus, la fraude et les escroqueries dont le produit transite par les crypto-actifs.

Le dispositif LCB-FT d’un PSCA, de la classification au contrôle interne

Le dispositif se construit dans un ordre précis, chaque brique alimentant la suivante. La classification des risques fixe le niveau de vigilance de chaque client. La connaissance du client paramètre la surveillance des opérations, qui nourrit les déclarations à Tracfin. Le contrôle interne vérifie que l’ensemble fonctionne. L’ACPR examine cet enchaînement dans le dossier d’agrément, puis lors de ses contrôles.

Classification des risques et connaissance du client : ce que l’ACPR attend

La classification des risques est le premier document que lit l’ACPR. Lors de ses premiers contrôles de prestataires sur crypto-actifs, elle a relevé des classifications incomplètes, qui omettaient des facteurs de risque de ses principes d’application sectoriels, rarement actualisées, notamment sur le risque géographique, et parfois inopérantes, faute de données clients correctement enregistrées. Tous les services, produits et jetons proposés doivent y figurer, et l’ACPR en est informée chaque année par le questionnaire LCB-FT.

Sur la connaissance du client, les constats vont dans le même sens :

• vérifications d’identité insuffisantes, y compris chez des prestataires qui s’appuient sur un spécialiste externe ;
• usurpations d’identité détectées en cours de contrôle ;
• informations manquantes sur les revenus, le patrimoine, la localisation ou l’activité des personnes morales ;
• profils de risque mal définis et peu mis à jour.

Le code monétaire et financier impose au moins deux mesures de vérification lorsque la relation s’établit à distance, ce qui est le cas de presque tous les PSCA.

Le cabinet traduit ces attentes dans des documents qui tiennent lors d’un contrôle : une classification qui reflète l’activité réelle, des procédures qui décrivent ce que font les équipes et non ce que dit la loi, et un lien explicite entre le profil de risque du client, les scénarios d’alerte et les mesures de vigilance qu’ils déclenchent.

Surveiller les flux en monnaie légale et sur la chaîne

Un PSCA surveille deux mondes. Les flux en monnaie légale d’abord : l’ACPR rappelle que cette surveillance est souvent négligée, alors qu’elle révèle l’écart entre les versements d’un client et les revenus qu’il a déclarés. Les flux sur la chaîne ensuite, suivis au moyen d’un outil d’analyse qui attribue des facteurs de risque aux adresses et aux transactions.

L’outil ne suffit pas. L’ACPR a constaté des paramétrages qui ne traduisaient aucune politique de risque, des procédures imprécises, des actifs commercialisés sans être couverts par l’outil, et l’absence d’analyses rétrospectives, pourtant indispensables pour repérer les adresses exposées à des entités sanctionnées ou au financement du terrorisme. Tracfin fait le même constat : beaucoup d’acteurs se reposent sur la seule analyse on-chain et tiennent trop peu compte du profil des clients et des canaux de distribution.

Le cabinet intervient à la jonction de l’outil et du droit :

• adapter les scores et les scénarios d’un prestataire d’analyse on-chain aux obligations françaises ;
• encadrer la prestation par contrat : externalisation au sens de MiCA et de DORA, accès aux données, réversibilité ;
• définir les scénarios bloquants et les autorisations préalables que l’ACPR cite parmi les bonnes pratiques ;
• organiser les revues de stock quand une faille apparaît.

ORWL Avocats accompagne aussi les PSCA dans la mise en conformité de leurs contrats informatiques avec DORA.

La travel rule : transferts, adresses auto-hébergées et prestataire technique

Depuis le 30 décembre 2024, le règlement TFR impose à chaque PSCA d’accompagner tout transfert de crypto-actifs des informations sur le donneur d’ordre et le bénéficiaire, d’en vérifier l’exactitude, de détecter les informations manquantes à l’arrivée et de décider, selon une procédure fondée sur les risques, d’exécuter, de rejeter ou de suspendre le transfert. Le règlement s’applique sans seuil de montant. Il ne vise pas les transferts entre particuliers réalisés sans PSCA, ni ceux entre deux PSCA qui agissent pour leur propre compte. Une ordonnance du 15 octobre 2024 l’a articulé avec le code monétaire et financier, et les orientations de l’Autorité bancaire européenne en précisent l’application.

Les adresses auto-hébergées, souvent appelées portefeuilles non hébergés, concentrent les difficultés. Lorsqu’un transfert de plus de 1 000 euros provient d’une telle adresse ou lui est destiné, le PSCA doit prendre des mesures adéquates pour établir que son client la possède ou la contrôle. Les méthodes admises (signature d’un message, micro-transaction, attestation) et le degré de preuve exigé varient selon le risque. Le cabinet aide à fixer une politique défendable : ni refus de principe, qui prive le prestataire d’une partie de sa clientèle, ni acceptation sans contrôle documenté, que l’ACPR relèverait.

Le choix du prestataire technique de travel rule soulève des questions de droit autant que de technique :

• interopérabilité avec les protocoles utilisés par les contreparties ;
• traitement des transferts vers des prestataires qui n’appliquent pas la règle ;
• conservation des données personnelles ;
• répartition des responsabilités en cas de défaillance.

Le contrat et la procédure interne doivent décrire concrètement ce qui se passe lorsque les informations manquent, et non rappeler les obligations du règlement : c’est précisément le défaut que l’ACPR relève dans les dossiers d’agrément. Tracfin rappelle de son côté que l’absence ou l’insuffisance de ces informations constitue un indice de soupçon, à déclarer le cas échéant.

Mesures restrictives et gel des avoirs

Les sanctions internationales forment un bloc distinct de la LCB-FT mais s’intègrent au même dispositif. L’obligation est de résultat et s’applique sans délai : identifier les personnes désignées, ne mettre aucun crypto-actif à leur disposition, geler les avoirs et déclarer le gel à la direction générale du Trésor.

Les mesures sectorielles s’ajoutent aux gels individuels, et les sanctions européennes visant la Russie se sont nettement étendues aux crypto-actifs. Elles interdisent aujourd’hui :

• de fournir des services sur crypto-actifs aux ressortissants russes, aux personnes qui résident en Russie et aux entités qui y sont établies ;
• toute transaction avec les prestataires sur crypto-actifs établis en Russie et avec les prestataires de pays tiers désignés par l’Union ;
• toute transaction portant sur certains crypto-actifs désignés, comme le stablecoin A7A5 ;
• depuis le 25 août 2026, de compter des ressortissants russes ou des résidents de Russie parmi les personnes qui détiennent ou contrôlent un PSCA établi dans l’Union, ou qui siègent dans ses organes de direction.

Le filtrage ne peut donc plus se limiter aux clients et aux adresses : il doit couvrir les plateformes, les prestataires et les intermédiaires qui interviennent dans chaque transfert. Tracfin signale aussi des stratégies de contournement qui passent par des échanges en crypto-actifs, notamment en stablecoins.

Depuis le 30 décembre 2025, les orientations de l’Autorité bancaire européenne sur les mesures restrictives, que l’AMF et l’ACPR appliquent, exigent des PSCA des politiques, des procédures et des contrôles internes dédiés :

• choix et calibrage du système de filtrage ;
• filtrage de la clientèle et des transferts, et analyse des alertes ;
• détection des entités détenues ou contrôlées par une personne désignée et des tentatives de contournement ;
• gel des transferts entrants sur un compte d’attente ;
• tests réguliers du dispositif et remontée des faiblesses à l’organe de direction.

Le cabinet audite ces procédures et assiste le prestataire dans ses échanges avec le Trésor lorsqu’un gel ou une demande de dérogation se présente.

Déclarer à Tracfin et répondre à ses demandes

Les PSCA comptent désormais parmi les déclarants les plus actifs. Selon le rapport d’activité 2025 de Tracfin, publié en septembre 2026, ils ont adressé 4 850 déclarations de soupçon en 2025, contre 3 073 en 2024 et 1 449 en 2023. Tracfin leur a adressé 2 476 droits de communication, près de trois fois plus qu’en 2024 : les PSCA sont la troisième profession financière destinataire de ces demandes. L’analyse nationale des risques classe le secteur en risque très élevé.

Tracfin relève que les PSCA rédigent des déclarations détaillées, mais que certaines typologies restent trop peu déclarées, en particulier la fraude fiscale : plus-values non déclarées, donations déguisées, droits de succession éludés. L’ACPR constate de son côté des contenus et des délais de transmission insuffisants, souvent faute de ressources.

Deux évolutions récentes renforcent l’enjeu. La loi du 13 juin 2025 visant à sortir la France du piège du narcotrafic a ajouté aux cas de présomption de blanchiment le recours à un crypto-actif à anonymat intégré ou à un service d’opacification des transactions, comme un mixeur (code pénal, art. 324-1-1). En 2025, Tracfin a aussi exercé pour la première fois son droit d’opposition pour permettre la saisie de crypto-actifs.

Le cabinet accompagne la rédaction des déclarations de soupçon sensibles et des réponses aux droits de communication, pour que le soupçon soit caractérisé et la déclaration faite dans les délais. Il intervient aussi lorsque Tracfin exerce son droit d’opposition ou adresse un appel à vigilance, et lorsqu’une relation d’affaires pose la question de son maintien ou de sa rupture. Sur le volet fiscal, ORWL Avocats accompagne aussi les PSCA dans leurs obligations déclaratives DAC8, dont la collecte a commencé le 1er janvier 2026 (carte des échanges de données DAC8 et CARF).

Contrôle interne, gouvernance et formation des équipes

Le contrôle interne est, selon l’ACPR, la brique la plus souvent embryonnaire chez les prestataires sur crypto-actifs : contrôles permanents et périodiques peu développés, plans qui ne précisent ni la nature des contrôles, ni les personnes chargées de les mener, ni leur périodicité. La gouvernance souffre du même défaut : les dirigeants et l’organe de surveillance ne disposent pas des informations qui leur permettraient de s’assurer de la conformité.

L’ACPR attend un reporting régulier d’indicateurs : panier moyen des opérations, nombre d’alertes par scénario et taux de transformation en examen renforcé puis en déclaration, délais de détection et de traitement. Elle attend aussi des équipes qui maîtrisent à la fois les produits et les schémas de blanchiment, de fraude fiscale et de financement du terrorisme.

La formation régulière du personnel est une obligation légale. ORWL Avocats anime des formations LCB-FT conçues pour les équipes des PSCA : dirigeants, responsable de la conformité, opérationnels de la relation client et de la surveillance. Les sessions partent des typologies observées par Tracfin et des constats de l’ACPR, et s’adaptent aux services et aux jetons du prestataire. Elles s’inscrivent dans le plan de formation que le contrôle interne doit tracer.

Ce que l’ACPR relève lors de ses contrôles

Lors de l’atelier LCB-FT du Forum Fintech ACPR-AMF du 9 octobre 2025, l’ACPR a dressé le bilan de son premier cycle de supervision des prestataires sur crypto-actifs : collecte d’informations, entretiens de surveillance rapprochée, visites et contrôles sur place pour une part significative des acteurs les plus risqués ou les plus actifs. Selon la gravité des constats, ces contrôles ont donné lieu à des lettres de suite, à des mesures de police administrative, voire à des radiations.

Face à un contrôle, le prestataire gagne à préparer la mission plutôt qu’à la subir. Le cahier des charges de données arrive plusieurs semaines avant les investigations, ce qui suppose des données exploitables. Viennent ensuite les entretiens de la mission avec les équipes, la réponse au rapport puis, le cas échéant, la procédure devant la Commission des sanctions. Le cabinet est présent à chaque étape et construit, dès les premiers échanges, la position qui sera défendue jusqu’au bout.

Ce qui change avec AMLR et l’AMLA

Le paquet européen adopté en 2024 remplace la logique des directives par un règlement d’application directe, le règlement AMLR, applicable à partir du 10 juillet 2027. Il est complété par une sixième directive et par le règlement qui crée l’Autorité européenne de lutte contre le blanchiment (AMLA), installée à Francfort et en activité depuis 2025. Pour un PSCA, trois changements comptent :

• des règles de vigilance harmonisées dans toute l’Union, qui réduisent l’écart entre les pratiques nationales et renforcent le contrôle des bénéficiaires effectifs et des personnes politiquement exposées ;
• l’interdiction expresse de tenir des comptes anonymes et de proposer tout service qui permet d’anonymiser ou d’opacifier les transactions, y compris au moyen de crypto-actifs à anonymat renforcé, interdiction que l’ACPR a déjà rappelée aux prestataires ;
• la supervision directe par l’AMLA, à partir de 2028, de certains établissements financiers transfrontières à haut risque, parmi lesquels peuvent figurer des PSCA, et l’obligation de disposer de politiques et de contrôles internes qui garantissent l’application des mesures restrictives.

Les dispositifs construits aujourd’hui doivent anticiper ce cadre : une classification des risques et des procédures écrites selon les catégories d’AMLR éviteront une refonte en 2027.

Comment ORWL Avocats intervient

Les PSCA saisissent le cabinet à quatre moments :

• lors de la demande d’agrément, pour concevoir un dispositif adapté à une activité sur crypto-actifs ; le volet LCB-FT du dossier PSCA est plus exigeant que celui de l’ancien enregistrement PSAN, avec des mesures détaillées sur les personnes politiquement exposées, la travel rule et le plan de contrôle interne ;
• lors d’une demande d’information ou d’un contrôle de l’ACPR ou de l’AMF ;
• lorsque l’activité change : nouveau service, nouveau jeton, nouveaux pays ;
• sur une question précise de conformité du dispositif aux textes.

ORWL Avocats prépare aussi l’ensemble du dossier d’agrément PSCA auprès de l’AMF, dont le volet LCB-FT n’est qu’une partie.

Selon le besoin, le cabinet tient la plume ou relit : il rédige la classification des risques et les procédures, ou conseille le responsable de la conformité et le consultant qui les rédigent. Il signe les livrables qui engagent : avis sur une qualification, analyse d’un montage, réponse au régulateur. Il ne se substitue pas à la fonction conformité du prestataire, qui reste responsable de l’application quotidienne du dispositif.

Les demandes les plus fréquentes portent sur l’adaptation des outils d’analyse on-chain au droit français, les montages qui font appel à un tiers introducteur propres aux crypto-actifs, la gouvernance LCB-FT et les contrats avec les prestataires techniques. Le cabinet mobilise au besoin son réseau d’experts : prestataires d’analyse de la chaîne, spécialistes de la vérification d’identité, consultants en conformité, experts-comptables.

Pourquoi travailler avec ORWL Avocats ?

Depuis sa création en 2018, ORWL Avocats accompagne les prestataires sur crypto-actifs devant l’AMF et l’ACPR et a conduit plusieurs dizaines d’agréments. Le cabinet travaille avec des plateformes d’échange, des conservateurs, des services de réception et de transmission d’ordres, des établissements de paiement qui ajoutent des services sur crypto-actifs et des groupes étrangers qui s’installent en France. Il figure dans les classements Chambers FinTech et Leaders League. Il prend part aux travaux de place de l’ADAN, dont William O’Rorke, associé, est membre du conseil d’administration.

Un consultant ou un éditeur de logiciel installe le dispositif ; l’avocat répond de sa conformité et le défend. Qualifier une activité, un flux ou une relation au regard du code monétaire et financier, de MiCA et des règlements européens est un travail de droit, et c’est sur cette qualification que l’ACPR fonde ses griefs. L’analyse d’une relation d’affaires sensible, d’une déclaration de soupçon ou d’une stratégie de réponse à un contrôle est couverte par le secret professionnel de l’avocat. L’avocat engage enfin sa responsabilité professionnelle sur ce qu’il écrit.

Un associé conduit chaque dossier : il fixe la stratégie, mène les échanges avec le régulateur et signe les livrables qui engagent le cabinet. Dès le premier courrier, il prépare la position qui sera tenue, le cas échéant, devant la Commission des sanctions.