Un faux document administratif très élaboré
Le courrier frauduleux reproduit fidèlement les codes visuels de l'administration française : logo Marianne, en-tête "Direction générale des Finances publiques", adresse parisienne (75572 Paris Cedex 12) et une référence administrative fabriquée de toutes pièces, "MEC-2026-08-DAC8". Le texte invoque la directive européenne DAC8 (2023/2226/UE), la loi n° 2024-537 du 12 juin 2024 et le décret n° 2025-169 du 21 février 2025, autant de textes réels dont les numéros sont repris pour crédibiliser l'ensemble.
La mise en demeure exige du destinataire qu'il recense toutes ses plateformes d'échange, ses wallets et ses protocoles DeFi, puis qu'il transmette l'historique complet de ses transactions imposables : plus-values, revenus de staking, airdrops et prêts. Une échéance est fixée au 5 septembre 2026, assortie de menaces de sanctions précises : amende de 750 euros par compte non déclaré, portée à 1 500 euros si la valeur dépasse 50 000 euros (art. 1736 du CGI), majoration de 40 à 80% des droits éludés (art. 1729 du CGI) et intérêts de retard à 0,20% par mois (art. 1727 du CGI). Ces articles existent bien dans le Code général des impôts, ce qui renforce l'apparence de légitimité.
La pièce centrale du dispositif : un QR code présenté comme l'accès à un "Portail des actifs numériques" officiel, qui renvoie en réalité vers un site frauduleux destiné à collecter les données des victimes.
La fuite Ledger de 2020, pas celle des Impôts
Le détail le plus révélateur tient à l'origine des données utilisées par les escrocs. Le destinataire du courrier identifié n'a pas été touché par la fuite de données de la DGFiP, mais par celle de Ledger en 2020 : ses coordonnées figurent dans la base de clients du fabricant de hardware wallets compromise il y a six ans et non dans un fichier fiscal. Ce ciblage précis confirme que les fraudeurs exploitent des bases de données issues de fuites antérieures du secteur crypto pour sélectionner leurs victimes.
L'autre indice qui trahit le faux : le taux du prélèvement forfaitaire unique (PFU) mentionné dans le courrier n'est plus à jour. Le document affiche 30%, taux qui a évolué depuis, ce qui suffit à dater et invalider le document pour quiconque suit l'actualité fiscale crypto.
Ce qu'il faut faire si vous recevez ce courrier
Aucune mise en demeure officielle de la DGFiP ne demande de scanner un QR code pour accéder à un portail tiers. L'administration fiscale française communique exclusivement via impots.gouv.fr et son espace personnel sécurisé. Tout courrier réclamant wallets, historiques de transactions et connexion à une plateforme externe doit être traité comme une tentative de phishing.
Si vous recevez ce document, ne scannez pas le QR code, ne transmettez aucune donnée et signalez le courrier sur la plateforme Pharos (signalement.gouv.fr). La présence de vos coordonnées dans ce type de campagne indique très probablement que vos données personnelles figurent dans une fuite ancienne, celle de Ledger en 2020 étant la plus probable au regard du profil des victimes identifiées.
