La couverture du vol de cryptomonnaie existe aujourd'hui sous une poignée de formes : des avenants « crime personnel » proposés par un petit nombre d'assureurs spécialisés, une assurance de garde souscrite par certaines plateformes d'échange et certains dépositaires pour le compte de leurs utilisateurs, et des polices autonomes sur actifs numériques achetées directement par des entreprises et des particuliers fortunés. Rien de tout cela ne ressemble à une police d'assurance habitation ou automobile classique, et le processus de traitement des sinistres en porte la marque. Les assureurs de ce segment construisent encore leur confiance actuarielle autour d'une catégorie de sinistre qui n'existait pratiquement pas il y a dix ans, et cette prudence se traduit directement dans ce qu'ils exigent avant de verser une indemnisation.
Pourquoi ce marché reste prudent
Les souscripteurs tarifient une police à partir de données historiques de sinistres, et le vol de cryptomonnaie dispose d'un historique plus court et plus mince que presque tout autre risque assuré. Les sinistres présentent aussi une variété inhabituelle de mécanismes : une attaque par hameçonnage, une clé privée compromise, l'exploitation d'une faille de contrat intelligent et un appareil volé se présentent tous différemment sur le papier, même lorsque le résultat final est identique. Cette variabilité complique la construction de processus de traitement standardisés, ce qui explique en grande partie pourquoi les exigences ci-dessous sont plus poussées, et plus manuelles, que ce à quoi la plupart des assurés s'attendent.
Ce que les assureurs exigent généralement
- Un rapport de police déposé rapidement après la découverte du sinistre, avec un numéro de dossier ou de référence, même dans des juridictions peu susceptibles de mener une enquête active.
- Une chronologie détaillée de l'incident indiquant quand la perte a été découverte, comment, et quelles mesures immédiates ont été prises.
- Les identifiants de transaction et adresses de portefeuille précis de chaque transfert non autorisé, mis en correspondance avec des justificatifs de propriété du portefeuille ou du compte démontrant que les fonds étaient bien les vôtres.
- La preuve que les exigences de sécurité de la police étaient respectées au moment de la perte, par exemple l'authentification à deux facteurs activée, les clés stockées conformément à ce que précise la police, ou l'utilisation d'un portefeuille matériel lorsque la police en suppose un.
- Une preuve de la valeur de l'actif au moment de la perte, généralement des données de cotation issues d'une plateforme d'échange reconnue pour la date et l'heure concernées.
- Dans de nombreux cas, un compte rendu des faits établi par un tiers indépendant, distinct du récit de l'assuré lui-même.
Les assureurs exigent fréquemment la preuve que les conditions de sécurité énoncées par la police ont réellement été respectées. Une déclaration de sinistre peut être rejetée non pas parce que le vol est mis en doute, mais parce que l'assuré ne peut pas démontrer qu'il remplissait une condition précise, comme l'authentification multifacteur active, au moment de la perte.
La place d'un rapport de traçabilité professionnel
Un rapport de traçabilité blockchain n'est pas explicitement exigé par la plupart des polices, mais en pratique, c'est fréquemment le document unique qui fait passer une déclaration de sinistre du statut contesté à celui d'approuvée. Les assureurs évaluant une catégorie de sinistre qu'ils connaissent mal s'appuient fortement sur des preuves techniques indépendantes, et un rapport de traçabilité qui documente précisément quels portefeuilles ont reçu les fonds, s'ils ont ensuite été transférés vers une plateforme d'échange identifiable, et avec quel degré de certitude cette chaîne de possession peut être établie, donne à un expert en sinistres un élément concret sur lequel fonder son évaluation, plutôt que de s'appuyer uniquement sur le récit de l'assuré.
Cela est particulièrement vrai pour les déclarations dépassant un seuil déclenchant un examen approfondi, et pour celles où le mécanisme de la perte est contesté, par exemple pour déterminer si une transaction était réellement non autorisée ou s'il pourrait s'agir d'un acte interne sur un portefeuille d'entreprise à plusieurs signataires. Un rapport de traçabilité ne tranche pas cette question à lui seul, mais il donne aux enquêteurs de l'assureur un point de départ documenté plutôt qu'une investigation ouverte.
Ce qui a tendance à ralentir les déclarations de sinistre
La cause de retard la plus courante n'est pas un soupçon de fraude : c'est une documentation incomplète soumise trop tôt, puis complétée par bribes sur plusieurs semaines, chaque aller-retour ajoutant du temps à l'examen. Un second problème fréquent est l'écart entre ce que la police couvre réellement et ce que l'assuré pensait qu'elle couvrait : une assurance de garde souscrite par une plateforme d'échange, par exemple, protège généralement contre les défaillances opérationnelles propres à la plateforme, pas contre une attaque par hameçonnage visant les identifiants de compte d'un utilisateur individuel. Lire attentivement les conditions précises de déclenchement de la couverture avant qu'un incident ne survienne, et non après, reste le meilleur moyen d'éviter une mauvaise surprise au moment de la déclaration.