Piratage : La Belgique exige les adresses crypto de sites illégaux

Le 19 août 2026, le Département belge de lutte contre les atteintes en ligne (BAPO) a émis cinq décisions imposant à quatre bureaux d’enregistrement et à un registre de transmettre une fiche complète sur les opérateurs de sites de streaming sportif illicite : identité, IBAN, cartes bancaires, wallets crypto et identifiants de transaction, plus douze mois de logs de connexion. Le tout, sous le sceau du secret. La portée extra-frontalière de l’injonction reste, en pratique, à éprouver.

La Belgique traque les pirates via les wallets crypto des registrars

La traçabilité des acteurs crypto européens reste au cœur des débats. L’injonction belge s’inscrit dans cette même logique, mais en passant par un autre maillon : les registrars. Les cinq décisions découlent d’une ordonnance du Tribunal de l’entreprise francophone de Bruxelles, saisi fin juillet 2026. 

Quatre demandes ont été adressées à des bureaux d’enregistrement de domaines. La cinquième concerne un registre de noms de domaine.

Trois entreprises apparaissent dans les documents rendus publics : Hosting Concepts, une société liée à Openprovider, Hostinger et Key-Systems. Elles sont toutes établies dans l’Union européenne, mais en dehors de la Belgique.

Le nom d’un quatrième registrar ainsi que celui du registre concerné ont été masqués. Les autorités n’ont pas non plus révélé les noms de domaine visés par la procédure. Le Tribunal a toutefois estimé que les demandes formulées étaient proportionnées.

Les informations demandées sont nombreuses. Le BAPO veut notamment obtenir l’identité complète des titulaires des comptes, ainsi que l’historique de leurs adresses postales, adresses e-mail et numéros de téléphone.

Les autorités demandent également les coordonnées bancaires disponibles, dont les IBAN et l’identité exacte du titulaire du compte. Les données liées aux cartes de paiement sont elles aussi concernées : BIN, quatre derniers chiffres, banque émettrice et pays d’émission.

La partie la plus inhabituelle concerne les paiements en crypto. Les registrars doivent communiquer les éventuels moyens de paiement crypto utilisés par leurs clients, y compris les adresses de wallets, le type d’actif concerné et le hash des transactions.

Enfin, les décisions réclament également des informations techniques détaillées, notamment les adresses IP, le type d’appareil, le système d’exploitation et le navigateur utilisé. Jusqu’à douze mois de logs de connexion peuvent être demandés, avec des données horodatées de manière très précise.

Pourquoi la portée extra-frontalière n’est pas garantie

Les injonctions s’appuient sur l’article 10 du Digital Services Act, censé encadrer l’application d’une « information order » à un prestataire établi ailleurs dans l’Union. Le problème, c’est que le BAPO est un service fédéral belge, alors que les registrars visés ne le sont pas tous.

Rien n’empêche donc un registrar néerlandais, lituanien ou allemand de contester la transmission au nom de son droit national ou du RGPD, voire de porter l’affaire devant la Cour de justice de l’Union européenne. 

À cette première fragilité s’ajoute le secret imposé par le gag order : le BAPO invoque l’exception liée aux enquêtes pénales pour s’affranchir du devoir d’information prévu par le DSA. Concrètement, un opérateur peut voir son identité, son historique bancaire et ses logs transmis aux ayants droit sans en être averti.

Pour un opérateur ayant facturé son service en stablecoins ou en bitcoin, cette injonction transforme le registrar en porte d’entrée vers son identification on-chain. Un wallet n’est en soi qu’une adresse publique. 

Cependant, associé au hash de transaction, puis recoupé avec douze mois de logs IP, il donne aux ayants droit un point de départ procédural pour demander la levée de l’anonymat auprès des exchanges européens, déjà soumis aux règles de Travel Rule et de KYC.

Le test à court terme sera simple à observer : Hostinger, Hosting Concepts et Key-Systems vont-ils transmettre les données, contester l’injonction, ou demander un sursis ? Si l’un des trois saisit la CJUE, ce dossier belge deviendra un cas d’école sur l’opposabilité extra-frontalière de l’article 10 du DSA. Ce type d’agrégation d’indices a déjà produit ses effets par le passé, comme le montre l’affaire Movie2K documentée par Cointribune.