Finst : ce que couvrent la licence MiCA et les contrôles de sécurité

Une autorisation vérifiable dans le registre néerlandais

La sécurité d’une plateforme crypto ne se résume pas à un cadenas dans son application. Le cas de Finst permet de distinguer plusieurs éléments souvent réunis dans une même promesse commerciale : une autorisation réglementaire, l’organisation de la conservation et les contrôles techniques. Ces dispositifs peuvent se compléter, mais ils ne prouvent pas exactement la même chose.

Le registre officiel de l’Autorité des marchés financiers néerlandaise mentionne Finst B.V. sous le numéro 41000015. L’entreprise y figure avec une autorisation relevant de l’article 63 du règlement MiCA. Les services recensés comprennent la conservation et l’administration de cryptoactifs, l’exécution d’ordres, leur réception et transmission, ainsi que les transferts pour le compte de clients.

La France apparaît également dans la liste des destinations du passeport européen de l’entreprise. Ces informations permettent de vérifier l’identité juridique du prestataire et le périmètre de ses services autorisés. Elles ne transforment pas les cryptomonnaies proposées en placements garantis et ne dispensent pas de lire les conditions applicables à chaque service.

Séparer les actifs et protéger l’accès au compte

Finst indique conserver les actifs numériques des clients séparément de ceux de l’entreprise. La plateforme présente aussi une infrastructure de garde utilisant la technologie MPC et des mécanismes d’isolation. Ces dispositions concernent l’organisation de la conservation et la maîtrise des opérations sensibles ; leur existence ne permet pas d’affirmer qu’aucun incident ne pourra survenir.

Sur les comptes, Finst décrit notamment une authentification à deux facteurs activée par défaut, l’association d’appareils de confiance et des notifications de mouvements. L’objectif est de compliquer un accès non autorisé et de rendre certaines opérations plus visibles pour le client. Ces mesures n’ont cependant pas la même fonction qu’une analyse de la solidité financière de l’entreprise.

Cette distinction aide à poser les bonnes questions. Une protection de connexion traite le risque d’usurpation ; la séparation des actifs traite leur organisation juridique et opérationnelle. Ni l’une ni l’autre ne protège directement contre une baisse du cours du bitcoin ou d’un autre jeton détenu sur le compte.

La preuve de réserves doit être lue avec sa date et son périmètre

La page de transparence de Finst renvoie à un rapport de preuve de réserves de 2023 et présente un contrôle conduit par AuditNow. Une preuve de réserves cherche à rapprocher les avoirs disponibles des engagements envers les clients. Pour l’interpréter, il faut identifier la date du constat, les actifs concernés et les vérifications effectivement réalisées.

Finst expose elle-même les limites des approches traditionnelles : une photographie des réserves peut devenir ancienne, ne pas couvrir toutes les obligations ou ne pas démontrer la liquidité disponible lors de retraits massifs. Un rapport passé ne constitue donc pas une attestation automatique de la situation à chaque instant.

L’examen d’un prestataire gagne ainsi à croiser des pièces de nature différente : registre du régulateur, documents contractuels, modalités de garde et contrôles indépendants datés. Pour Finst comme pour ses concurrents, la conclusion utile n’est pas qu’un label supprimerait tous les risques. Elle consiste à comprendre quel risque chaque dispositif couvre, puis à repérer ceux qui restent à la charge du détenteur.