Bybit : fonctionnement, statut réglementaire en France et piratage de 2025

Qui est derrière Bybit

Bybit est une plateforme centralisée d'échange de cryptomonnaies. Selon Wikipédia, elle a été fondée en 2018 à Shanghai par Ben Zhou, puis a déplacé son siège à Singapour en 2021 et à Dubaï en 2022. La plateforme internationale bybit.com est exploitée par Bybit Fintech FZE, une société enregistrée à Dubaï, d'après les mentions légales du site.

Le groupe s'est fait connaître par ses contrats à terme perpétuels sur le bitcoin et l'ether, avant d'élargir son offre au marché au comptant, à des produits d'épargne en cryptomonnaies, à un launchpad de nouveaux jetons et à une place de marché de NFT. Le catalogue de jetons et la grille tarifaire évoluent souvent ; ils se consultent directement sur le site de la plateforme.

Bybit EU, l'entité qui sert les clients européens

Depuis l'entrée en application du règlement européen MiCA, un prestataire de services sur crypto-actifs (PSCA) doit être agréé dans un État membre pour servir des clients de l'Union. Bybit a choisi l'Autriche. Le registre intérimaire MiCA de l'ESMA indique que Bybit EU GmbH, établie Donau-City-Straße 7 à Vienne, a été agréée par l'autorité autrichienne des marchés financiers (FMA) le 28 mai 2025.

Le site bybit.eu se présente comme celui d'un prestataire agréé au titre de MiCA et supervisé par la FMA. C'est cette entité, et non Bybit Fintech FZE, qui contracte avec les clients résidant dans l'Union européenne.

Ce que couvre l'agrément

D'après le registre de l'ESMA, l'agrément de Bybit EU porte sur cinq services :

• la conservation et l'administration de crypto-actifs pour le compte de clients ;
• l'échange de crypto-actifs contre des fonds, par exemple des euros ;
• l'échange de crypto-actifs contre d'autres crypto-actifs ;
• le placement de crypto-actifs ;
• les services de transfert de crypto-actifs pour le compte de clients.

Aucun service lié aux produits dérivés n'y figure. Le règlement MiCA encadre les crypto-actifs eux-mêmes, pas les contrats financiers construits sur eux, comme les contrats à terme à effet de levier. L'offre de dérivés qui a fait la réputation de bybit.com ne découle donc pas de cet agrément.

Le passeport vers la France

Un PSCA agréé dans un pays de l'Union peut notifier son intention de servir des clients dans d'autres États membres. Le registre de l'ESMA liste 29 pays pour Bybit EU, dont la France. Les clients français peuvent donc ouvrir un compte chez Bybit EU, dans la limite des services agréés.

Ce cadre a remplacé les régimes nationaux. Selon l'ESMA, les prestataires actifs sous un régime national avant le 30 décembre 2024 pouvaient poursuivre leur activité jusqu'au 1er juillet 2026 au plus tard, ou jusqu'à l'octroi ou au refus de leur agrément MiCA. Depuis cette date, un agrément MiCA est la seule voie pour servir des clients européens.

Bybit et les listes noires de l'AMF

L'Autorité des marchés financiers publie deux listes noires de sites non autorisés : l'une pour les crypto-actifs, l'autre pour les produits dérivés sur crypto-actifs. Dans leurs versions du 28 septembre 2026, aucune ne mentionne Bybit. Ces listes ne sont pas exhaustives, précise l'AMF ; l'absence d'un nom ne vaut pas autorisation pour tous les produits.

Le vol de février 2025

Le 21 février 2025, Bybit a subi le plus important vol jamais recensé sur une plateforme de cryptomonnaies. Dans un avis publié le 26 février 2025, le FBI chiffre le préjudice à environ 1,5 milliard de dollars d'actifs virtuels et attribue l'opération à la Corée du Nord, sous le nom d'activité « TraderTraitor ».

L'explorateur Etherscan étiquette l'une des adresses de réception sous le nom « Bybit Exploiter 1 », ce qui permet de suivre publiquement les mouvements des fonds volés.

Selon Wikipédia, l'attaque a exploité l'infrastructure de Safe{Wallet}, le service de portefeuille multisignature utilisé par Bybit, et la plateforme a reconstitué ses réserves en quelques jours grâce à des prêts de partenaires de marché.

Les consignes du FBI après le vol

Le même avis du FBI décrit la suite de l'opération : les auteurs ont converti une partie des actifs volés en bitcoins et en d'autres actifs virtuels, dispersés sur des milliers d'adresses réparties sur plusieurs blockchains. L'agence publie une liste de 50 adresses Ethereum liées à l'opération. Elle demande aux opérateurs de nœuds RPC, aux plateformes d'échange, aux ponts inter-chaînes, aux sociétés d'analyse de blockchain, aux services de finance décentralisée et aux autres prestataires de services sur actifs virtuels de bloquer les transactions avec ces adresses. Les signalements passent par le site ic3.gov ou par les bureaux locaux du FBI.

Ce qu'implique une plateforme centralisée

La garde des fonds

Comme toute plateforme centralisée, Bybit conserve les cryptomonnaies de ses clients dans ses propres portefeuilles. Le client ne détient pas les clés privées ; il dispose d'une créance sur la plateforme. Le vol de 2025 montre la limite de ce modèle : la sécurité des avoirs dépend des procédures internes du prestataire et de ses fournisseurs. MiCA impose aux prestataires agréés des obligations de conservation, de ségrégation des actifs et de gouvernance, sous le contrôle de leur autorité nationale.

L'identification des clients

L'ouverture d'un compte passe par une vérification d'identité, obligation commune aux prestataires agréés au titre de la lutte contre le blanchiment. Sans elle, les dépôts en euros et les retraits restent bloqués.

Le risque des produits à effet de levier

Un contrat à terme avec effet de levier multiplie les gains comme les pertes. Un mouvement de prix défavorable entraîne la liquidation de la position et la perte de la marge engagée. Aucun niveau de levier ne protège le capital investi. Les rendements affichés sur les produits d'épargne en cryptomonnaies, souvent variables et temporaires, comportent aussi un risque de perte.

Vérifier un prestataire avant d'ouvrir un compte

Trois sources publiques permettent de contrôler le statut d'une plateforme en France : le registre MiCA de l'ESMA, qui indique l'entité agréée, son autorité de tutelle, ses services et les pays notifiés ; les listes noires de l'AMF ; et les mentions légales du site, qui désignent l'entité qui contracte réellement avec le client. Pour Bybit, ces trois sources désignent la même société : Bybit EU GmbH, à Vienne.