Kraken est-il sûr ? Ce que les faits montrent vraiment

Le bilan : en activité depuis 2013, aucune faille sur les fonds clients

Kraken a été fondé en 2011 par Jesse Powell, Thanh Luu et Michael Gronager, et son origine est une histoire de sécurité. Powell s'était rendu à Tokyo pour aider Mt. Gox à se remettre d'un piratage, avait constaté à quel point la gestion était défaillante, et avait décidé que le secteur avait besoin d'une plateforme construite correctement. Les deux premières années ont été consacrées à la construction, pas à l'activité commerciale : la plateforme a ouvert au trading en septembre 2013, avec des paires Bitcoin, Litecoin et euro. Elle fonctionne depuis, en traversant l'effondrement de Mt. Gox et les faillites de 2022 qui ont emporté Celsius, Voyager, BlockFi et FTX.

L'affirmation selon laquelle Kraken n'a jamais été piraté est proche de la vérité mais pas exacte telle quelle, il vaut donc la peine de la formuler avec précision. Aucune faille documentée des systèmes de Kraken n'a entraîné le vol de fonds clients depuis des soldes clients. Les systèmes de Kraken ont été exploités une fois, en juin 2024, quand environ $3 millions ont quitté l'entreprise, un cas traité plus bas. Côté retraits, Kraken ne les a jamais suspendus faute de pouvoir honorer les demandes, ce qui est le mode de défaillance qui ruine réellement les gens. La plateforme a connu des interruptions et des fenêtres de maintenance pendant lesquelles les retraits étaient indisponibles, notamment une mise à niveau de la plateforme en janvier 2018 prévue pour deux heures qui s'est prolongée sur près de 48.

La maison mère est Payward, Inc., détenue à titre privé et basée à San Francisco, dirigée par les codirecteurs généraux Arjun Sethi et Dave Ripley, Powell occupant la présidence depuis qu'il a quitté la direction générale en 2023. Payward a déposé confidentiellement un dossier d'introduction en bourse aux États-Unis en novembre 2025 et a mis ces projets en pause en mars 2026. Tant qu'elle n'est pas cotée, l'entreprise ne publie aucun état financier audité, une lacune qui revient plus bas.

Qui régule Kraken, juridiction par juridiction

Kraken n'est pas une seule entreprise avec une seule licence, mais un groupe d'entités, chacune agréée pour quelque chose de spécifique, et ces différences déterminent contre quoi vous êtes protégé. Le tableau provient de la propre déclaration de licences de Kraken, août 2026.

Pour les utilisateurs de l'UE et de l'EEE, la première ligne compte le plus. Payward Europe Solutions Limited a été agréée comme prestataire de services sur crypto-actifs au titre de MiCA par la Banque centrale d'Irlande le 25 juin 2025, le premier agrément MiCA accordé par l'Irlande. La licence est passeportée dans tout l'EEE et entraîne des obligations en matière de capital, de conservation, de gouvernance et de ségrégation des actifs clients. Elle ne s'accompagne pas d'un régime d'indemnisation.

Au Royaume-Uni, lisez attentivement le libellé du registre. L'enregistrement de Payward Limited auprès de la FCA relève des règlements sur le blanchiment d'argent, la FCA supervise donc les contrôles anti-blanchiment de Kraken. Cela ne rend pas l'activité crypto agréée par la FCA de la même façon qu'une société d'investissement, et cela ne place pas votre crypto sous le Financial Services Compensation Scheme. Kraken le dit lui-même : les fonds fiat détenus sous forme de monnaie électronique sont sauvegardés sur des comptes clients distincts mais ne sont pas couverts par le FSCS.

Aux États-Unis, les activités sont réparties entre une entreprise de services monétaires enregistrée auprès du FinCEN pour le comptant, un courtier en contrats à terme enregistré auprès de la CFTC pour les dérivés, un courtier-négociant pour les titres, et une institution de dépôt à vocation spéciale du Wyoming. L'appartenance à la SIPC du côté courtier-négociant ne s'étend pas à la crypto au comptant.

Preuve de réserves : ce qu'elle prouve et ce qu'elle ne prouve pas

Un cabinet comptable indépendant prend un instantané de chaque solde client dans les actifs examinés, anonymisé, et les hache dans un arbre de Merkle, combinant tous les soldes en une seule empreinte cryptographique, la racine de Merkle, sans exposer les avoirs individuels. Kraken prouve séparément le contrôle des adresses on-chain détenant les actifs correspondants en signant des messages avec les clés privées. Si le total on-chain atteint ou dépasse le total client, les réserves étaient intégralement couvertes à cet instant.

La partie qui compte pour vous est l'autovérification. Kraken vous fournit un identifiant d'enregistrement et un nonce pour que vous puissiez vérifier que votre propre solde figurait dans l'arbre qui a été comptabilisé. Soyez précis sur ce que cela vous apporte réellement. L'autovérification par arbre de Merkle n'a rien de rare, Binance et plusieurs autres grandes plateformes en proposent une version, et un compte omis n'est détectable que par le détenteur de ce compte, et seulement s'il effectue réellement la vérification, ce que presque personne ne fait. Cela dissuade donc d'exclure discrètement de gros comptes plutôt que de prouver que la liste des engagements est complète. La vraie particularité de Kraken tient à qui mène l'examen : un cabinet comptable indépendant selon des normes de procédures convenues, là où Binance est passé à l'auto-attestation.

Voici maintenant les limites, dont la plupart sont énoncées par Kraken lui-même. C'est un instantané, pas une garantie continue. Il couvre une liste définie d'actifs, et dans l'examen du 30 juin 2026 il s'agissait du Bitcoin, de l'Ether, du Solana, du XRP, du Cardano, de l'USDC, du Tether et de l'USDG, sur le comptant, le staking, la marge et le collatéral des contrats à terme, pas tout ce qui existe sur la plateforme. Kraken précise que la procédure ne peut pas prouver la possession exclusive des clés privées, et ne peut ni identifier des charges cachées ni prouver que des fonds n'ont pas été empruntés pour passer l'examen. Le dernier instantané en date d'août 2026 était daté du 30 juin 2026.

Surtout, une preuve de réserves n'est pas un audit. Un audit examine l'ensemble de la situation d'une entreprise : les engagements, les emprunts, les transactions avec des parties liées, sa capacité à honorer ses obligations. Une preuve de réserves compare les engagements clients dans le périmètre aux actifs on-chain à un instant donné. Elle ne prouve pas que la liste des engagements clients dont elle est partie était complète, et elle ne couvre aucune des autres obligations de Kraken, comme les emprunts de l'entreprise ou des actifs déjà nantis ailleurs.

Où se trouvent vos pièces, et la question de l'assurance

Kraken conserve les cryptomonnaies de ses clients dans un mélange de stockage à froid, c'est-à-dire des clés générées et conservées hors ligne, et de portefeuilles à chaud pour les retraits courants. L'entreprise décrit une infrastructure installée dans des cages sécurisées sous surveillance 24 heures sur 24, en des lieux non divulgués, où aucun employé ne peut accéder seul aux systèmes physiques, et un programme de sécurité certifié ISO/IEC 27001 ayant fait l'objet d'un examen SOC 2. Kraken ne publie pas de répartition exacte entre stockage à froid et à chaud, et le chiffre d'environ 95% qui circule sur les sites d'avis provient de tiers.

Vient ensuite la question de l'assurance, largement mal comprise. Les propres déclarations juridiques de Kraken indiquent que les actifs numériques et les comptes Kraken ne sont couverts par aucune assurance contre les pertes, et ne bénéficient pas des protections de la Federal Deposit Insurance Corporation ou de la Securities Investor Protection Corporation aux États-Unis, ni de celles d'un organisme comparable ailleurs. Son centre d'aide est plus direct : les plateformes d'échange ne sont pas éligibles aux programmes d'assurance des dépôts parce que ce ne sont pas des établissements d'épargne.

Une exception étroite existe : les fonds fiat détenus via les entités de monnaie électronique de Kraken sont sauvegardés sur des comptes clients ségrégués, les tenant à l'écart des fonds propres de l'entreprise en cas de défaillance. Cette sauvegarde constitue une protection réelle mais pas un régime d'indemnisation, et Kraken précise que la monnaie électronique britannique n'est pas couverte par le FSCS. Il n'existe donc aucune garantie de type bancaire ici, ni nulle part ailleurs dans la crypto. Ce que vous obtenez, c'est un dépositaire agréé avec des obligations de ségrégation et un long historique irréprochable, ce qui vaut mieux qu'une plateforme offshore non agréée mais n'équivaut pas à de l'argent assuré.

Les paramètres qui comptent plus que la sécurité propre de Kraken

Presque toutes les pertes de cryptomonnaies chez les particuliers se produisent au niveau du compte, pas au niveau de la plateforme : pages de phishing, échanges de carte SIM, logiciels malveillants, mots de passe réutilisés, un faux support convaincant sur Telegram. Les protections de Kraken ne valent que celles que vous activez vous-même, et par défaut vous n'en utilisez presque aucune.

Si vous n'en faites que deux, choisissez une clé d'accès pour la connexion et la liste blanche d'adresses protégée par le Global Settings Lock.

• Authentification à deux facteurs à la connexion avec une clé d'accès ou une clé de sécurité matérielle. Les deux résistent au phishing d'une manière que les codes d'authentification classiques ne permettent pas, et Kraken conseille lui-même de remplacer la 2FA par SMS, celle que déjoue un échange de carte SIM.
• Des couches de 2FA distinctes pour les retraits, le trading et l'accès à l'API, afin qu'une session détournée ne puisse pas déplacer de fonds sans un second contrôle.
• Une Master Key, un identifiant de secours protégeant contre les réinitialisations de mot de passe. Kraken conseille d'en configurer une avant d'activer le Global Settings Lock.
• Le Global Settings Lock, qui verrouille les paramètres et les adresses de retrait pendant une durée fixe, si bien qu'un attaquant en possession de votre mot de passe ne peut pas ajouter une nouvelle adresse. Le support de Kraken ne peut pas accélérer sa levée, et c'est précisément le but.
• La liste blanche d'adresses de retrait, pour que les fonds ne partent que vers des adresses approuvées à l'avance, avec confirmation par e-mail pour les nouvelles.
• Des clés API limitées aux permissions minimales dont l'outil a besoin, avec les droits de retrait désactivés sauf nécessité.

Les incidents et les amendes, remis en proportion

Une plateforme en activité depuis 2013 dans un environnement réglementaire mouvant a nécessairement un dossier. Prétendre le contraire est exactement ce qui fait perdre toute crédibilité aux pages d'affiliation, voici donc la liste réelle, en intégralité. Deux des entrées ci-dessous demandent une lecture attentive, et il vaut la peine de les présenter d'abord.

Le cas de juin 2024 ci-dessous se lit dans les deux sens. Kraken affirme que les soldes clients n'ont jamais été en danger et que le stockage à froid n'a jamais été touché, et selon sa version l'argent provenait de sa propre trésorerie et y est revenu. Détecter une faille critique en quelques minutes et la corriger en moins d'une heure, c'est ce à quoi ressemble une opération de sécurité mature. Dans le même temps, un bug qui a permis de gonfler un solde est arrivé en production, et la moitié rassurante de ce récit est la propre description par Kraken de son propre incident, qu'aucune partie extérieure n'a vérifiée.

Ce qui est absent de cette liste, c'est la catégorie qui ruine vraiment les gens : une défaillance de solvabilité, une suspension des retraits parce que l'argent n'était pas là, ou un vol des avoirs clients. Kraken n'en a connu aucune. Les autres éléments réglementaires sont des manquements de conformité et d'enregistrement, un problème d'un tout autre ordre. L'entrée australienne à la fin est l'exception et mérite d'être lue comme telle, car de vrais clients particuliers se sont vu vendre un produit de crédit qu'un tribunal a jugé distribué illégalement, et ils ont perdu de l'argent réel en l'utilisant.

• Septembre 2021, CFTC : une pénalité de $1.25 millions pour avoir proposé des transactions de matières premières sur marge à des clients particuliers américains qui n'étaient pas des participants aux contrats éligibles, sans être enregistré comme courtier en contrats à terme.
• Novembre 2022, OFAC : un règlement de $362,158.70 plus $100,000 engagés dans des contrôles de conformité aux sanctions supplémentaires, réglant 826 violations apparentes de l'Iranian Transactions and Sanctions Regulations. Il s'agissait de transactions d'une valeur d'environ $1.68 millions traitées pour des utilisateurs apparemment situés en Iran, parce que Kraken n'avait pas mis en place à temps la géolocalisation et le blocage d'IP. Kraken a signalé cela volontairement et l'OFAC a considéré les violations comme non graves.
• Février 2023, SEC : Kraken a payé $30 millions et a fermé son programme de staking en tant que service aux États-Unis, que la SEC a qualifié d'offre de titres non enregistrée. Réglé sans admettre ni nier les conclusions. L'affaire ne concernait que les clients américains et le staking européen n'en a jamais fait partie, donc si vous faites du staking sur Kraken dans l'UE, cette action n'a pas touché votre produit. Les clients américains ont perdu l'accès à un produit, pas à leurs actifs, et Kraken a relancé le staking on-chain pour les clients américains en janvier 2025 dans la plupart des États.
• Novembre 2023, SEC : une plainte affirmant que Kraken opérait comme une plateforme d'échange, un courtier, un négociant et une agence de compensation non enregistrés, rejetée avec préjudice en mars 2025 sans pénalité ni admission. La SEC a précisé que ce rejet reflétait son changement d'approche plus large envers la crypto plutôt qu'une évaluation du fond, ce qu'il vaut mieux lire honnêtement plutôt que comme une réhabilitation.
• Juin 2024, l'incident CertiK : un bug dans le système de financement de Kraken permettait de créditer un solde avant qu'un dépôt ne soit totalement réglé. Kraken affirme avoir identifié la faille en quelques minutes après un signalement bug bounty le 9 juin et l'avoir corrigée en environ une heure, mais la personne à l'origine du signalement l'avait partagée avec deux autres personnes qui ont retiré près de $3 millions. Kraken a qualifié la demande qui a suivi d'extorsion, et les fonds ont été restitués le même mois.
• Août et décembre 2024, ASIC : le seul élément ici où des clients ont perdu de l'argent. Le 23 août 2024, la Cour fédérale australienne a jugé que Bit Trade Pty Ltd, l'opérateur australien de Kraken, avait manqué à ses obligations de conception et de distribution en proposant un produit d'extension de marge à partir du 5 octobre 2021 sans avoir d'abord établi une détermination du marché cible. Le tribunal a estimé que le produit était une facilité de crédit. L'ASIC indique que plus de 1,100 Australiens se sont vu facturer plus de US$7 millions de frais et d'intérêts à ce titre et ont subi ensemble des pertes de trading de plus de US$5 millions, dont un investisseur qui a perdu près de US$4 millions. Le 12 décembre 2024, le tribunal a ordonné à Bit Trade de payer une pénalité de A$8 millions plus les frais de l'ASIC.

Comptes gelés : le risque que l'on sous-estime

La plainte la plus fréquente concernant Kraken, et toute plateforme régulée en général, n'est pas le piratage. C'est une restriction soudaine : retraits bloqués, documents demandés, des jours ou des semaines d'attente avec votre argent visible à l'écran mais inaccessible. C'est le coût direct de la régulation, et une grande partie de l'intervention est automatisée, si bien qu'elle touche aussi des personnes innocentes.

Kraken énumère ses propres raisons : un problème de sécurité détecté ou une activité malveillante vous ciblant, des tentatives de transfert vers des portefeuilles associés à une activité interdite, illégale ou frauduleuse, une rétrofacturation ou un rejet par votre banque ou l'émetteur de votre carte, une vérification incomplète ou l'absence de réponse à une demande d'information, et des violations des conditions d'utilisation. Une restriction peut désactiver les retraits en crypto tout en continuant d'autoriser la conversion en fiat et un retrait bancaire, réduire les plafonds de financement, ou mettre des transferts en attente d'examen. Kraken précise que les restrictions appliquées pour prévention de la fraude ne peuvent pas être levées avant 90 jours, sans doute l'information la plus utile à connaître avant de déposer des fonds.

Vous réduisez les probabilités en gardant votre vérification à jour, en répondant rapidement avec des documents, en approvisionnant depuis votre propre compte bancaire plutôt que celui d'un tiers, en évitant les dépôts par carte qui peuvent être annulés, et en évitant d'envoyer des fonds vers des adresses liées à des services de jeu d'argent, des mixeurs ou des infrastructures frauduleuses. Rien de tout cela n'est une garantie. Si vous avez besoin d'un accès inconditionnel à votre argent à tout moment, une plateforme avec dépositaire n'est pas le bon endroit pour cela.

Il est utile de savoir que c'est là que la réputation publique de Kraken est la plus fragile. Sur Trustpilot au 15 août 2026, Kraken affichait 3.2 sur environ 8,000 avis, contre 4.0 pour Coinbase sur environ 23,000. Les deux entreprises sollicitent des avis, et les personnes mécontentes en écrivent davantage, considérez donc cela comme un signal approximatif plutôt qu'un verdict. C'est tout de même le chiffre isolé le plus clairement défavorable à Kraken.

Kraken face à Coinbase et Binance, sur la seule question de la sécurité

Ces trois plateformes ne sont pas équivalentes, et sur la sécurité en particulier, les compromis diffèrent. Les frais, le choix des cryptomonnaies et l'interface sont des arguments distincts que cette section ignore.

Là où Coinbase est réellement meilleur : la transparence financière. La plateforme est cotée, ses comptes sont donc audités et publics, ses dispositifs de conservation figurent dans des documents qui engagent une responsabilité légale, et elle divulgue un plafond précis d'assurance contre la criminalité plutôt que de refuser toute assurance. La preuve de réserves est un substitut astucieux aux comptes publics ; des comptes publics audités sont la vraie chose. Lisez toutefois attentivement la ligne sur l'assurance, car une police contre la criminalité d'entreprise couvre le vol au niveau de l'entreprise, pas votre compte, et ne fait rien si vos propres identifiants sont compromis ou si le cours baisse. Coinbase n'est pas non plus exempt d'incidents : en mai 2025, des criminels ont soudoyé des prestataires de support externalisés pour accéder à des outils internes et ont récupéré des données de contact et d'identité d'environ 69,000 clients, puis ont exigé $20 millions, ce que Coinbase a refusé. Aucun fonds ni clé privée n'a été directement pris, mais ces données circulent toujours et alimentent des appels d'usurpation d'identité.

Là où Kraken est clairement plus solide que Binance, au moins dans l'UE : Binance ne détenait pas de licence MiCA quand la période transitoire pour les enregistrements nationaux existants a pris fin le 30 juin 2026, et a annoncé aux utilisateurs de l'UE qu'elle allait restreindre ses services, après avoir retiré sa demande grecque fin juin et indiqué qu'elle déposerait plutôt une demande en France. Binance est la plus grande plateforme d'échange au monde en volume et généralement la moins chère pour trader, et son piratage de portefeuille chaud de 2019 a été intégralement couvert par sa propre réserve SAFU. Mais un vide réglementaire dans votre juridiction est une catégorie de risque différente, et SAFU est une réserve autofinancée que l'entreprise contrôle, pas un contrat d'assurance avec un assureur externe.

Ce dont aucune plateforme ne peut vous protéger

C'est à cause de FTX que cette question est posée des milliers de fois par mois, il vaut donc la peine de rappeler ce qui s'est passé. FTX n'a pas été mise à terre par un pirate. Les dépôts clients étaient acheminés vers une société de trading affiliée, sans conseil d'administration digne de ce nom, sans contrôles financiers fonctionnels, sans auditeur crédible et sans régulateur ayant une réelle visibilité sur l'emplacement de l'argent. La plateforme s'est effondrée parce qu'elle mentait sur l'endroit où se trouvait l'argent.

Les différences structurelles chez Kraken sont précises : des entités supervisées en Irlande, au Royaume-Uni, aux États-Unis, en Australie et ailleurs, des obligations de ségrégation des actifs clients au titre de MiCA, des attestations publiées que vous pouvez vérifier par rapport à votre propre solde, et aucun antécédent de suspension des retraits faute de pouvoir honorer les demandes. Ce sont précisément les éléments absents chez FTX. Ils réduisent considérablement la probabilité d'une telle défaillance, sans la ramener à zéro.

Toute plateforme avec dépositaire comporte un risque de contrepartie. Votre solde est une ligne dans la base de données de quelqu'un d'autre et une créance sur ses réserves, pas des pièces que vous contrôlez. « Pas vos clés, pas vos pièces » n'est pas un slogan, c'est la situation juridique réelle. Un portefeuille matériel retire la plateforme de l'équation et vous confie un risque différent, car perdre votre phrase de récupération signifie perdre les fonds définitivement.

Vient enfin le risque qui éclipse tous les autres : le cours. Rien ici ne vous protège d'une chute de 60% du Bitcoin, ou d'un jeton plus modeste tombant à zéro. Une plateforme parfaitement sécurisée, entièrement agréée et publiant ses réserves conservera votre actif sans faille pendant qu'il perd l'essentiel de sa valeur. La crypto est un actif à haut risque et vous pouvez y perdre de l'argent quelle que soit la plateforme. Rien ici ne constitue un conseil en investissement, et la question de savoir combien détenir, si tant est qu'il faille détenir quoi que ce soit, n'est pas une question à laquelle un avis sur une plateforme peut répondre.

L'offre de parrainage de Kraken, sur le plan factuel

Kraken propose un programme de parrainage, et voici son fonctionnement tel qu'exposé sur les propres pages de Kraken en août 2026. La page publique de parrainage affiche une récompense allant jusqu'à $20 pour vous et un montant équivalent pour l'ami que vous invitez, payé en USDG, avec un plafond total d'environ $200. D'autres campagnes régionales ont annoncé des montants plus élevés, et les conditions de parrainage de Kraken confirment que montants, plafonds et critères sont fixés par plan plutôt que globalement.

Les conditions sont faciles à enfreindre par inadvertance. La personne que vous invitez doit être réellement nouvelle chez Kraken, c'est-à-dire n'avoir jamais créé de compte auparavant, et vous devez tous les deux vivre dans le même pays, ou tous les deux vivre dans des pays éligibles de l'Espace économique européen. Elle doit ensuite déposer des fonds fiat depuis un compte bancaire et réaliser une transaction éligible dans le délai imparti, actuellement 15 jours. Les transactions en stablecoins ne comptent pas, acheter de l'USDT ne déclenchera donc rien. Kraken indique de compter environ 14 jours pour que le bonus soit crédité.

Les offres changent souvent et les conditions varient selon le pays, vérifiez donc les chiffres actuels sur la page de parrainage de Kraken avant de vous fier à un montant, y compris ceux-ci. Et pour être direct : un bonus de $20 n'est pas une raison de choisir où garder son argent. Un bonus ne compense pas un risque.

Questions fréquentes