Od 1 stycznia 2026 r. europejska dyrektywa DAC8 wzmacnia identyfikowalność transakcji kryptowalutowych, w momencie, gdy we Francji mnożą się porwania i napady związane z aktywami cyfrowymi. W niniejszym dossier analizujemy, co ta nowa przejrzystość oznacza dla francuskich inwestorów, korzystając z wiedzy Cédrica Fontaine’a, byłego żołnierza i policjanta, dyrektora generalnego Lima Groupe.
W celu poprawy przejrzystości podatkowej Francja i jej sąsiedzi wprowadzają coraz bardziej rygorystyczne przepisy dotyczące kryptowalut i ich posiadaczy. Od 1 stycznia 2026 r. dyrektywa europejska DAC8 nakłada na dostawców usług związanych z kryptoaktywami obowiązek przekazywania organom podatkowym pełnych informacji o swoich klientach. Równolegle francuska poprawka przewiduje również obowiązek corocznego zgłaszania portfeli zimnych osób fizycznych, których wartość przekracza 5000 euro.
Francja, kierując się z pewnością dobrymi intencjami, naraża jednak posiadaczy aktywów cyfrowych na niebezpieczeństwo. Ta nowa inicjatywa stwarza bowiem poważną lukę w zabezpieczeniach, a mianowicie scentralizowaną bazę danych cyfrowych, którą mogą wykorzystać przestępcy.
Francja zdecydowanie znajduje się w kryzysie, łącząc falę wycieków danych (w tym potencjalnego wycieku z Ministerstwa Spraw Wewnętrznych), serię rosnącej liczby porwań w kraju oraz ocenianą jako niewystarczającą ochronę państwa. Ta bezprecedensowa sytuacja sprawia, że kraj ten staje się atrakcyjnym celem dla przestępczości zorganizowanej, co niestety skłania inwestorów do samodzielnego zabezpieczania się za pomocą prywatnych służb lub po prostu do opuszczenia kraju. Czy naprawdę można ich za to winić?
Dążenie do przejrzystości za wszelką cenę
W ten sposób kończy się pewna era we Francji. Od 1 stycznia 2026 r. dyrektywa DAC8 zmienia krajobraz podatkowy posiadaczy kryptowalut w Europie. Według Komisji Europejskiej przepisy te nałożą na CASP (Crypto Asset Service Provider), europejski odpowiednik PSAN (Prestataire de Services sur Actifs Numériques) we Francji, obowiązek gromadzenia, a następnie przekazywania organom podatkowym szczegółowych informacji na temat transakcji swoich klientów.
Należy zauważyć, że Francja wprowadziła już środki dotyczące tej kwestii. Obowiązkowe zgłaszanie zagranicznych kont kryptowalutowych jest wymagane za pomocą formularza CERFA 3916-bis, a kary mogą sięgać 1500 euro za każde niezgłoszone konto, jeśli aktywa przekraczają 50 000 euro. Portfele, których saldo jest niższe niż 5000 euro, pozostają jednak na razie poza tym obowiązkiem, jak wskazuje Grégory Raymond w swoim tweecie:
🟥 Info @TheBigWhale_ I Opodatkowanie kryptowalut
We wtorek komisja AN przyjęła poprawkę komunistyczną
Proponuje ona nałożenie obowiązku na posiadaczy portfeli kryptowalutowych w samodzielnym zarządzaniu (@Ledger, @Metamask, @Rabby_io, @DeblockApp, itp.) o poinformowanie ich o… pic.twitter.com/ywJ8ylomxZ— Grégory Raymond 🐳 (@gregory_raymond) 11 grudnia 2025 r.
Według Komisji Europejskiej środki te mają na celu walkę z oszustwami podatkowymi i praniem brudnych pieniędzy. W ten sposób Francja będzie miała odtąd wgląd w działania realizowane za pośrednictwem platform kryptowalutowych, pozostawiając na razie poza zasięgiem portfele generowane automatycznie, jak słusznie podkreśla firma doradcza Deloitte:
W praktyce państwa członkowskie będą miały wgląd w działania dotyczące aktywów cyfrowych realizowane przez każdą osobę fizyczną, co pozwoli ich służbom skarbowym uzupełniać braki w deklaracjach podatkowych.
Niestety, środek ten powoduje centralizację wszystkich wrażliwych informacji w rządowych bazach danych, które są idealnym celem dla hakerów, zwłaszcza biorąc pod uwagę, że wycieki danych we Francji stają się coraz częstsze.
Wycieki danych z sektora prywatnego do sektora państwowego – gratka dla przestępców
Od kilku lat we Francji obserwuje się gwałtowny wzrost liczby wycieków danych, które dotykają zarówno instytucje publiczne, jak i prywatne przedsiębiorstwa. Według badania przeprowadzonego przez France 2, stacja telewizyjna poinformowała:
Gwałtowny wzrost liczby wycieków danych, które dotykają wiele francuskich przedsiębiorstw i służb publicznych.
Jeszcze bardziej niepokojące jest to, że w latach 2021-2024 dane identyfikacyjne co najmniej 14 milionów obywateli Francji zostały naruszone w wyniku włamań do platform miejskich.
Nie oszczędzono również firm kryptograficznych, a niektóre z nich również nie są w stanie chronić wrażliwych danych swoich klientów. W lipcu 2020 r. francuska firma Ledger, producent portfeli sprzętowych, padła ofiarą masowego wycieku danych, w wyniku którego ujawniono około miliona adresów e-mail klientów, nieco ponad 250 000 adresów pocztowych i numerów telefonów, z czego bezpośrednio dotkniętych zostało 16 000 francuskich klientów.
W wyniku tego ataku hakerskiego skradzione dane zostały następnie sprzedane na forach w dark web. W październiku 2024 r. francuska komisja ds. ochrony danych osobowych (CNIL) nałożyła na firmę Ledger rekordową grzywnę w wysokości 750 000 euro za niewystarczające środki bezpieczeństwa. Jednak grzywna ta nie przywróciła prywatności ofiarom ani nie zrekompensowała osobom, które padły ofiarą nękania e-mailami lub wiadomościami phishingowymi.
W wyniku tego wycieku konsekwencje okazały się katastrofalne dla posiadaczy kryptowalut. Według artykułu opublikowanego w 2024 r. w dzienniku Le Monde, media poinformowały, że:
CNIL oświadczyła agencji France-Presse, że firma Ledger „nie zapewniła wystarczającej ochrony danych swoich klientów” w wyniku dwóch naruszeń bezpieczeństwa danych, które miały miejsce w 2020 r. i dotyczyły danych osobowych klientów i potencjalnych klientów firmy.
Aby wyjaśnić, firma Ledger rzeczywiście padła ofiarą jednoznacznego wycieku danych w lipcu 2020 r. na swojej stronie internetowej hostowanej przez Shopify, w wyniku którego ujawniono dane 270 000 klientów. Do tego doszło kolejne naruszenie bezpieczeństwa, w wyniku którego nieuczciwi pracownicy Shopify wyeksportowali dodatkowe dane dotyczące 290 000 innych klientów firmy Ledger.
Na początku 2026 r. firma ponownie padła ofiarą wycieku danych za pośrednictwem swojego partnera e-commerce Global-e. Incydent ten spowodował ujawnienie danych osobowych niektórych klientów, którzy dokonali zakupów za pośrednictwem platformy.
Niedawne dochodzenie ujawniło również, że cyberprzestępcy stworzyli kompletny profil swoich ofiar na podstawie kilku wycieków danych, które miały miejsce na przestrzeni lat, w tym wycieku danych Free w 2024 roku. Clément Domingo, ekspert ds. cyberbezpieczeństwa, wyjaśnia:
Grupa cyberprzestępców odpowiedzialna za tę operację najprawdopodobniej połączyła dane adresowe użytkowników kryptowalut z innymi wyciekami danych.
Jeszcze niedawno, w nocy z 11 na 12 grudnia 2025 r., doszło do włamania do danych Ministerstwa Spraw Wewnętrznych. Cyberatak, do którego przyznała się grupa hakerów BreachForums, był wymierzony w serwery pocztowe tej służby.
Następnie opisują oni szczegółowo swój atak na forum, zaznaczając, że uzyskali dostęp do wrażliwych baz danych, w szczególności do bazy danych dotyczących przeszłości kryminalnej (TAJ), rejestru osób poszukiwanych (FPR), a także połączonych systemów łączących Interpol, dyrekcję generalną finansów publicznych (DGFIP) i krajową kasę ubezpieczeń społecznych, co dało im dostęp do danych osobowych ponad 16 milionów osób.
Hakerzy postawili rządowi ultimatum, dając mu tydzień na negocjacje, po upływie którego dane zostaną sprzedane oferentowi, który zaoferuje najwyższą cenę, lub upublicznione, jak wyjaśnia @AureaLibe w swoim tweecie na X:
🔴🇫🇷 ALERT INFO | Hakerzy, którzy twierdzą, że zhakowali Ministerstwo Spraw Wewnętrznych, ponownie potwierdzają, że postawili ultimatum państwu francuskiemu. Jeśli nie podejmie ono negocjacji, grożą sprzedażą lub ujawnieniem rzekomo skradzionych danych.
Ich wiadomość:
„Witam wszystkich,
My… pic.twitter.com/cq85hvgDJo
— Aurea (@AureaLibe) 15 grudnia 2025 r.
Pomimo tego głośnego włamania rząd nie wydaje się zdawać sobie sprawy z powagi sytuacji. W tej kwestii minister spraw wewnętrznych Laurent Nuñez zminimalizował ryzyko, oświadczając w stacji RTL, że na tym etapie nie wykryto żadnego „poważnego zagrożenia”, podczas gdy w tej sprawie aresztowano już jedną osobę.
Niemniej jednak włamanie to ujawnia przerażającą lukę w zabezpieczeniach. Jeśli pojedyncza osoba była w stanie włamać się do systemów Ministerstwa Spraw Wewnętrznych, to co by się stało w przypadku zorganizowanych cyberprzestępców lub cyberprzestępców wspieranych przez państwa?
Co gorsza, zagrożenie nie pochodzi wyłącznie z zewnątrz. W lipcu ubiegłego roku dziennik „Le Parisien” ujawnił, że agentka Dyrekcji Generalnej Finansów Publicznych jest podejrzana o przekazywanie poufnych informacji zorganizowanej przestępczości. Jeśli urzędnik skarbowy może zostać przekupiony i sprzedać wrażliwe dane podatników, to w jaki sposób rząd może zagwarantować bezpieczeństwo przyszłych baz danych związanych z DAC8?
Rosnąca fala porwań, brutalna rzeczywistość
Od 2023 r. we Francji dochodzi do powtarzających się porwań, których ofiarami są głównie inwestorzy kryptowalutowi. Najbardziej nagłośnionym porwaniem było uprowadzenie współzałożyciela firmy Ledger, Davida Ballanda. Regionalna żandarmeria krajowa oświadczyła wówczas:
Rankiem 21 stycznia 2025 r. para została porwana ze swojego domu w Vierzon w departamencie Cher przez grupę przestępców. David Balland jest współzałożycielem firmy Ledger, francuskiej spółki specjalizującej się w kryptowalutach.
Żądanie okupu zostało oczywiście sformułowane w kryptowalucie, a porywacze dostarczyli dowód życia przedsiębiorcy w formie nagrania wideo.
Kilka miesięcy później, w maju tego roku, ojciec innego przedsiębiorcy z tej branży również został porwany i przetrzymywany jako zakładnik przez prawie 48 godzin w pobliżu Paryża. Przestępcy również zażądali okupu w kryptowalutach w zamian za uwolnienie zakładnika.
Innym niepokojącym faktem jest to, że ciężarna córka prezesa Paymium ledwo uniknęła porwania w 11. dzielnicy Paryża.
18 grudnia ubiegłego roku para inwestorów mieszkająca w pobliżu La Rochelle została uwięziona we własnym domu. Przez prawie dwie godziny byli związani i bici, aby uzyskać dostęp do ich portfela kryptowalutowego. Według lokalnych źródeł policyjnych napastnicy ukradli około 10 milionów dolarów w kryptowalutach i dysponowali bardzo szczegółowymi informacjami na temat kwot posiadanych przez ofiary, które uzyskali dzięki wyciekowi danych znalezionych w Internecie.
Od tego czasu sytuacja nabrała tempa: w ciągu zaledwie trzech dni we Francji doszło do trzech ataków, obejmujących próby porwania i ukierunkowane napady, co ilustruje niepokojącą zmianę, w wyniku której posiadanie kryptowalut może stać się czynnikiem ryzyka fizycznego zarówno dla inwestora, jak i jego bliskich.
Krytyczna sytuacja we Francji jest nieodwracalna. Im bardziej regulacje prawne zwiększą przejrzystość aktywów obywateli w kryptowalutach dla rządu, tym bardziej przestępcy będą dostosowywać swoją strategię ataków, wykorzystując wrażliwe dane, potwierdzając tym samym słuszność powiedzenia: aby żyć szczęśliwie, żyjmy w ukryciu.
Niewystarczająca reakcja Francji w zakresie bezpieczeństwa
W obliczu rosnącego zagrożenia dla podmiotów zajmujących się kryptowalutami rząd wprowadził podstawowe zabezpieczenia, które odzwierciedlają jego brak zainteresowania tą sprawą. Ministerstwo Spraw Wewnętrznych ogłosiło, że:
Przedsiębiorcy z sektora kryptowalut mieliby priorytetowy dostęp do numeru alarmowego 17 i otrzymywaliby briefingi od elitarnych jednostek francuskiej policji.
Wprowadzone środki mają charakter bardziej symboliczny niż uspokajający. W żadnym wypadku przedsiębiorcy z tej branży nie czują się bezpieczniej, ponieważ nie rozwiązuje to w żaden sposób problemu podatności scentralizowanych systemów danych, a co gorsza, rząd wydaje się bagatelizować skalę zagrożenia, które nasila się, jak wyjaśnia Cédric Fontaine, dyrektor generalny Lima Protection:
Obecnie kalkulacja kosztów i korzyści sprzyja przestępcom. Państwo nie będzie w stanie nic zrobić na swoim poziomie, dopóki wymiar sprawiedliwości będzie tak pobłażliwy.
W wyniku nieefektywności państwa w zakresie ochrony swoich obywateli niektórzy z najbogatszych inwestorów kryptowalutowych zwrócili się do prywatnych firm ochroniarskich, co doprowadziło do powstania dwutorowego systemu bezpieczeństwa w kraju.
Prawdopodobnie gwałtownie wzrosło zapotrzebowanie na prywatną ochronę, zwłaszcza wśród przedsiębiorców i inwestorów zarządzających dużymi portfelami. Jethro Pijlman, dyrektor generalny Infinite Risks International, specjalistycznej firmy ochroniarskiej z siedzibą w Holandii, podzielił się z agencją Bloomberg swoją obserwacją:
Otrzymaliśmy więcej zapytań, podpisaliśmy więcej długoterminowych umów i odnotowaliśmy wzrost proaktywnych zapytań ze strony inwestorów kryptowalutowych, którzy nie chcą dać się zaskoczyć. Rozumieją oni, że inteligentne środki bezpieczeństwa są obecnie integralną częścią ich kosztów operacyjnych.
Według Bloomberga, Coinbase wydało aż 6,2 miliona dolarów na ochronę osobistą swojego dyrektora generalnego, Briana Armstronga, tylko w 2024 roku. Jest to symboliczny przykład tego, że „krypto-VIP-y” muszą obecnie wydawać znaczne, siedmiocyfrowe kwoty na swoje bezpieczeństwo.
Oprócz usług ochrony osobistej istnieją tańsze rozwiązania, takie jak te oferowane przez Perimeter Lab. Ten francuski startup, założony przez trzech byłych pracowników Ledger, oferuje kompleksowy audyt, który pozwala inwestorom kryptowalutowym zidentyfikować swoje słabe punkty, zanim zostaną one wykorzystane.
Nadszedł więc czas, w którym ochrona państwa jest niewystarczająca i tylko najbogatsi mogą sobie pozwolić na bezpieczeństwo odpowiadające rosnącemu zagrożeniu, co odzwierciedla załamanie się bezpieczeństwa publicznego we Francji.
Sytuacja Francji pogarsza się wraz z tymi zagrożeniami, znajdujemy się na rosnącej ścieżce. Widzimy to na podstawie naszych wniosków, widzimy to na podstawie liczby osób, które padają ofiarą napaści – dodaje Cédric Fontaine
Rzeczywiście, między potencjalnym włamaniem do milionów danych Ministerstwa Spraw Wewnętrznych, bezsilnością rządu wobec cyberprzestępczej organizacji BreachForums a wdrożeniem DAC8 z jego scentralizowaną bazą danych, Francja wydaje się stawiać Francuzów na celowniku, nie zdając sobie sprawy z konsekwencji swoich działań.
