Od 1 stycznia 2026 r. europejska dyrektywa DAC8 zwiększa identyfikowalność transakcji kryptowalutowych, w momencie gdy we Francji mnożą się porwania i napady związane z aktywami cyfrowymi. W niniejszym artykule analizujemy, co ta nowa przejrzystość oznacza dla francuskich inwestorów, z udziałem Cédrica Fontaine’a, byłego wojskowego i policjanta, dyrektora generalnego Lima Groupe.
W dążeniu do poprawy przejrzystości podatkowej Francja i jej sąsiedzi wprowadzają coraz bardziej rygorystyczne przepisy dotyczące kryptowalut i ich posiadaczy. Od 1 stycznia 2026 r. europejska dyrektywa DAC8 nakłada na dostawców usług związanych z kryptowalutami obowiązek przekazywania organom podatkowym pełnych informacji o swoich klientach. Równolegle francuska poprawka przewiduje również wprowadzenie obowiązku corocznego zgłaszania portfeli typu cold wallet osób fizycznych, których wartość przekracza 5 000 euro.
Chociaż Francja z pewnością kieruje się dobrymi intencjami, naraża jednak posiadaczy aktywów cyfrowych na niebezpieczeństwo. Ta nowa inicjatywa stwarza bowiem naprawdę poważną lukę w zabezpieczeniach, a mianowicie scentralizowaną cyfrową bazę danych, którą mogą wykorzystać przestępcy.
Francja zdecydowanie znajduje się w poważnym kryzysie, łączącym falę wycieków danych (w tym potencjalny wyciek z Ministerstwa Spraw Wewnętrznych), rosnącą liczbę porwań w kraju oraz ochronę ze strony państwa uznawaną za niewystarczającą. Ta bezprecedensowa sytuacja sprawia, że kraj ten staje się idealnym celem dla przestępczości zorganizowanej, co niestety skłania inwestorów do samodzielnego zabezpieczania się za pomocą prywatnych usług lub po prostu do opuszczenia kraju. Czy naprawdę można ich za to winić?
Dążenie do przejrzystości za wszelką cenę
W ten sposób we Francji kończy się pewna era. Od 1 stycznia 2026 r. dyrektywa DAC8 zmienia bowiem krajobraz podatkowy posiadaczy kryptowalut w Europie. Według Komisji Europejskiej przepisy te nałożą na CASP (Crypto Asset Service Provider), czyli europejski odpowiednik francuskich PSAN (Prestataire de Services sur Actifs Numériques), obowiązek gromadzenia, a następnie przekazywania organom podatkowym szczegółowych informacji dotyczących transakcji swoich klientów.
Warto zauważyć, że Francja wprowadziła już wcześniej środki dotyczące tej kwestii. Obowiązkowe zgłoszenie kont kryptowalutowych prowadzonych za granicą odbywa się za pomocą formularza CERFA 3916-bis, a sankcje mogą sięgać nawet 1 500 euro za każde niezgłoszone konto, jeśli wartość aktywów przekracza 50 000 euro. Portfele, których saldo nie przekracza 5 000 euro, pozostają jednak na razie wyłączone z tego obowiązku, jak wskazuje Grégory Raymond w swoim tweecie:
Informacja @TheBigWhale_ I Opodatkowanie kryptowalut
We wtorek komisja Zgromadzenia Narodowego przyjęła poprawkę zgłoszoną przez komunistów
Proponuje ona nałożenie obowiązku na posiadaczy portfeli kryptowalutowych w trybie samodzielnego przechowywania (@Ledger, @Metamask, @Rabby_io, @DeblockApp, itp.) o poinformowaniu o tym… pic.twitter.com/ywJ8ylomxZ— Grégory Raymond (@gregory_raymond) 11 grudnia 2025 r.
Według Komisji Europejskiej środki te mają na celu walkę z oszustwami podatkowymi i praniem brudnych pieniędzy. W ten sposób Francja będzie odtąd miała wgląd w działania realizowane za pośrednictwem platform kryptowalutowych, pozostawiając na razie poza zasięgiem automatycznie generowane portfele, jak słusznie podkreśla firma doradcza Deloitte:
W praktyce państwa członkowskie będą miały wgląd w działania dotyczące aktywów cyfrowych podejmowane przez każdą osobę fizyczną, co pozwoli ich organom podatkowym wyeliminować pominięcia w zeznaniach podatkowych.
Niestety, środek ten powoduje scentralizowanie wszystkich wrażliwych informacji w rządowych bazach danych, co stanowi idealny cel dla hakerów, zwłaszcza biorąc pod uwagę, że wycieki danych we Francji stają się coraz powszechniejsze.
Wycieki danych – od sektora prywatnego po sektor publiczny – to prawdziwa gratka dla przestępców
Od kilku lat we Francji obserwuje się gwałtowny wzrost liczby wycieków danych, dotykających zarówno instytucje publiczne, jak i prywatne przedsiębiorstwa. Jak wynika z dochodzenia przeprowadzonego przez France 2, stacja telewizyjna poinformowała:
Gwałtowny wzrost liczby wycieków danych dotykający wiele francuskich przedsiębiorstw i służb publicznych.
Jeszcze bardziej niepokojące jest to, że w latach 2021–2024 dane identyfikacyjne co najmniej 14 milionów obywateli Francji zostały ujawnione w wyniku włamań do platform miejskich.
Nie ominęło to również firm z branży kryptowalut, a niektóre z nich również nie są w stanie chronić wrażliwych danych swoich klientów. W lipcu 2020 roku francuski „jednorożec” Ledger, producent portfeli sprzętowych, padł ofiarą ogromnego wycieku, w wyniku którego ujawniono około miliona adresów e-mail klientów, nieco ponad 250 000 adresów pocztowych i numerów telefonów, przy czym bezpośrednio dotkniętych zostało 16 000 francuskich klientów.
W wyniku tego włamania skradzione dane zostały następnie sprzedane na forach w dark webie. W związku z tym w październiku 2024 r. francuska komisja ochrony danych osobowych (CNIL) nałożyła na firmę Ledger rekordową grzywnę w wysokości 750 000 euro za niewystarczające środki bezpieczeństwa. Grzywna ta nie przywróciła jednak prywatności ofiarom ani nie zapewniła odszkodowania osobom, które w późniejszym czasie padły ofiarą nękania za pomocą e-maili lub wiadomości phishingowych.
Przykład fałszywej wiadomości od firmy Ledger (udostępnionej przez @_SaxX_ na X)
W wyniku tego wycieku konsekwencje okazały się katastrofalne dla posiadaczy kryptowalut. Jak podano w artykule opublikowanym w 2024 r. w „Le Monde”, media informowały, że:
CNIL oświadczyła agencji France-Presse, że firma Ledger „nie zapewniła wystarczającej ochrony danych swoich klientów” w związku z dwoma naruszeniami bezpieczeństwa danych, które miały miejsce w 2020 roku i dotyczyły danych osobowych klientów oraz potencjalnych klientów firmy.
Dokładniej rzecz biorąc, firma Ledger rzeczywiście padła ofiarą jednoznacznego wycieku w lipcu 2020 r. na swojej stronie internetowej hostowanej przez Shopify, w wyniku którego ujawniono dane 270 000 klientów. Do tego doszło kolejne naruszenie, w ramach którego nieuczciwi pracownicy Shopify wyeksportowali dodatkowe dane, które dotyczyły kolejnych 290 000 klientów firmy Ledger.
Na początku 2026 r. firma ponownie stała się ofiarą wycieku za pośrednictwem swojego partnera e-commerce, Global-e. Incydent ten spowodował ujawnienie danych osobowych niektórych klientów, którzy dokonali zakupów za pośrednictwem tej platformy.
Niedawne dochodzenie ujawniło ponadto, że cyberprzestępcy stworzyli kompletny profil swoich ofiar na podstawie kilku wycieków, które miały miejsce na przestrzeni lat, w tym wycieku danych z serwisu Free w 2024 roku. Clément Domingo, ekspert ds. cyberbezpieczeństwa, wyjaśnia między innymi, że:
Grupa cyberprzestępców stojąca za tą operacją najprawdopodobniej połączyła dane adresowe użytkowników kryptowalut z informacjami pochodzącymi z innych wycieków danych.
Jeszcze niedawno, w nocy z 11 na 12 grudnia 2025 r., doszło do włamania do baz danych Ministerstwa Spraw Wewnętrznych. Cyberatak, do którego przyznała się grupa hakerów BreachForums, był wymierzony w serwery pocztowe tej instytucji.
Następnie na swoim forum opisali oni szczegóły ataku, zaznaczając, że uzyskali dostęp do wrażliwych baz danych, w szczególności do systemu przetwarzania danych o karalności (TAJ), rejestru osób poszukiwanych (FPR), a także do połączonych systemów łączących Interpol, Generalną Dyrekcję Finansów Publicznych (DGFIP) oraz Krajową Kasę Ubezpieczeń Społecznych, co umożliwiło dostęp do danych osobowych ponad 16 milionów osób.
Hakerzy postawili wówczas rządowi ultimatum: mają tydzień na negocjacje, w przeciwnym razie dane zostaną sprzedane oferentowi, który zaproponuje najwyższą cenę, lub upublicznione, jak wyjaśnia @AureaLibe w swoim tweecie na X:
ALARM INFORMACYJNY | Hakerzy, którzy twierdzą, że włamali się do Ministerstwa Spraw Wewnętrznych, ponownie potwierdzają, że postawili francuskiemu państwu ultimatum. Jeśli państwo nie podejmie negocjacji, grożą sprzedażą lub ujawnieniem rzekomo skradzionych danych.
Ich komunikat:
„Witam wszystkich,
Jesteśmy… pic.twitter.com/cq85hvgDJo
— Aurea (@AureaLibe) 15 grudnia 2025 r.
Pomimo tego głośnego ataku hakerskiego rząd wydaje się nie zdawać sobie sprawy z powagi sytuacji. W tym kontekście minister spraw wewnętrznych Laurent Nuñez bagatelizował ryzyko, oświadczając w stacji RTL, że na tym etapie nie wykryto żadnego „poważnego naruszenia bezpieczeństwa”, podczas gdy w tej sprawie zatrzymano już jedną osobę.
Niemniej jednak to włamanie ujawnia przerażającą lukę w zabezpieczeniach. Skoro bowiem pojedyncza osoba zdołała wkroczyć do systemów Ministerstwa Spraw Wewnętrznych, jak wyglądałaby sytuacja w obliczu zorganizowanych cyberprzestępców lub takich wspieranych przez państwa?
Co więcej, zagrożenie nie pochodzi wyłącznie z zewnątrz. W lipcu ubiegłego roku dziennik „Le Parisien” ujawnił, że urzędniczka z Generalnej Dyrekcji Finansów Publicznych była podejrzana o przekazywanie poufnych informacji zorganizowanej przestępczości. Skoro urzędnik skarbowy może dać się przekupić i sprzedać wrażliwe dane podatników, w jaki sposób rząd może zagwarantować bezpieczeństwo przyszłych baz danych związanych z DAC8?
Rosnąca fala porwań – brutalna rzeczywistość
Od 2023 roku we Francji dochodzi do powtarzających się porwań, których ofiarami padają głównie inwestorzy kryptowalutowi. Najbardziej nagłośnionym porwaniem było porwanie współzałożyciela firmy Ledger, Davida Ballanda. Regionalna żandarmeria krajowa oświadczyła wówczas:
Rankiem 21 stycznia 2025 r. para została porwana ze swojego domu w Vierzon, w departamencie Cher, przez grupę przestępców. David Balland jest współzałożycielem firmy Ledger, francuskiego przedsiębiorstwa specjalizującego się w kryptowalutach.
Żądanie okupu zostało najwyraźniej sformułowane w kryptowalutach, a porywacze dostarczyli nagranie wideo potwierdzające, że przedsiębiorca żyje.
Kilka miesięcy później, w maju ubiegłego roku, ojciec innego przedsiębiorcy z tej branży również został porwany i przetrzymywany jako zakładnik przez prawie 48 godzin w pobliżu Paryża. Przestępcy również żądali zapłaty w kryptowalutach w zamian za uwolnienie zakładnika.
Kolejnym niepokojącym faktem jest to, że ciężarna kobieta, córka prezesa Paymium, ledwo uniknęła porwania w 11. dzielnicy Paryża.
18 grudnia ubiegłego roku para inwestorów mieszkająca w pobliżu La Rochelle została uwięziona we własnym domu. Byli związani i bici przez prawie dwie godziny, aby przestępcy uzyskali dostęp do ich portfela kryptowalutowego. Według lokalnych źródeł policyjnych napastnicy ukradli około 10 milionów dolarów w kryptowalutach i dysponowali bardzo szczegółowymi informacjami na temat kwot posiadanych przez ofiary – dane te pozyskali dzięki wyciekowi informacji znalezionemu w Internecie.
Od tego czasu ta piekielna spirala nabiera tempa: w ciągu zaledwie trzech dni we Francji doszło do trzech ataków, od prób porwań po ukierunkowane napaści, co ilustruje niepokojącą zmianę sytuacji, w której posiadanie kryptowalut może stać się czynnikiem ryzyka dla bezpieczeństwa fizycznego zarówno inwestora, jak i jego bliskich.
Krytyczna sytuacja, z jaką mamy do czynienia we Francji, nie pozostawia wątpliwości. Im bardziej regulacje prawne sprawią, że aktywa obywateli w kryptowalutach staną się przejrzyste dla rządu, tym bardziej przestępcy będą dostosowywać swoją strategię ataków, skupiając się na wrażliwych danych, potwierdzając tym samym słuszność następującego powiedzenia: aby żyć szczęśliwie, żyjmy w ukryciu.
Niewystarczająca reakcja Francji w kwestii bezpieczeństwa
W obliczu rosnącego zagrożenia dla podmiotów działających na rynku kryptowalut rząd wprowadził podstawowe środki ochronne, które odzwierciedlają jego brak zainteresowania tą sprawą. Ministerstwo Spraw Wewnętrznych ogłosiło zatem, że:
Przedsiębiorcy z sektora kryptowalut mieliby mieć priorytetowy dostęp do numeru alarmowego 17 oraz otrzymywać briefingi od elitarnych jednostek francuskiej policji.
Wprowadzone środki mają charakter bardziej symboliczny niż uspokajający. W żadnym wypadku przedsiębiorcy z tej branży nie czują się bezpieczniej, ponieważ nie rozwiązuje to w ogóle problemu podatności scentralizowanych systemów danych, a co gorsza, rząd wydaje się rzeczywiście bagatelizować skalę narastającego zagrożenia, jak podkreśla Cédric Fontaine, dyrektor generalny Lima Protection:
Obecnie analiza kosztów i korzyści przemawia na korzyść przestępców. Państwo nie będzie w stanie nic zrobić na swoim poziomie, dopóki wymiar sprawiedliwości będzie tak pobłażliwy.
W wyniku nieefektywności państwa w zakresie ochrony swoich obywateli niektórzy z najzamożniejszych inwestorów kryptowalutowych zwrócili się ku prywatnym firmom ochroniarskim, co doprowadziło do powstania dwutorowego systemu bezpieczeństwa w kraju.
Najprawdopodobniej popyt na prywatne usługi ochroniarskie gwałtownie wzrósł, zwłaszcza wśród przedsiębiorców i inwestorów zarządzających znacznymi portfelami. Jethro Pijlman, dyrektor generalny Infinite Risks International, specjalistycznej firmy ochroniarskiej z siedzibą w Holandii, podzielił się z agencją Bloomberg swoją obserwacją:
Otrzymaliśmy więcej zapytań, podpisaliśmy więcej długoterminowych umów i odnotowaliśmy wzrost liczby proaktywnych zgłoszeń ze strony inwestorów kryptowalutowych, którzy nie chcą dać się zaskoczyć. Rozumieją oni, że inteligentne środki bezpieczeństwa stanowią obecnie integralną część ich kosztów operacyjnych.
Zgodnie z informacjami serwisu Bloomberg, Coinbase wydało aż 6,2 mln dolarów na ochronę osobistą swojego dyrektora generalnego, Briana Armstronga, tylko w 2024 roku. Jest to symboliczny przykład tego, że „krypto-VIP-y” muszą obecnie przeznaczać na swoje bezpieczeństwo znaczne kwoty rzędu siedmiu cyfr.
Oprócz usług ochrony osobistej istnieją tańsze rozwiązania, takie jak to oferowane przez Perimeter Lab. Ten francuski startup, założony przez trzech byłych pracowników firmy Ledger, oferuje kompleksowy audyt, który pozwala inwestorom kryptowalutowym zidentyfikować swoje słabe punkty, zanim zostaną one wykorzystane.
Nadeszła więc era, w której ochrona zapewniana przez państwo jest niewystarczająca, a jedynie najbogatsi mogą sobie pozwolić na zabezpieczenia adekwatne do rosnącego zagrożenia, co odzwierciedla załamanie się Francji w zakresie bezpieczeństwa publicznego.
Sytuacja we Francji pogarsza się wraz z tymi zagrożeniami, a tendencja ta jest coraz bardziej wyraźna. Widzimy to na podstawie liczby zgłoszeń, widzimy to na liczbie osób, które padają ofiarą ataków – dodaje Cédric Fontaine
Rzeczywiście, biorąc pod uwagę potencjalny wyciek milionów danych z Ministerstwa Spraw Wewnętrznych, bezradność rządu wobec platformy cyberprzestępczej BreachForums oraz wdrożenie systemu DAC8 z jego scentralizowaną bazą danych, Francja wydaje się stawiać na plecach Francuzów oczywisty cel, nie zdając sobie sprawy z konsekwencji swoich działań.
