Investissement en crypto-actifs : la banque, simple PSP, n’a aucun devoir de mise en garde — Cass. com., 25 mars 2026, n° 25-10.353

Cour de cassation, chambre commerciale, financière et économique, 25 mars 2026, pourvoi n° 25-10.353, arrêt n° 150 F-B, cassation

Pourquoi cet arrêt était-il attendu ?

Depuis cinq ans, les escroqueries à l’investissement en crypto-actifs frappent un public toujours plus large : retraités attirés par la promesse de rendements à deux chiffres, salariés voulant placer une indemnité de licenciement, héritiers qui « font fructifier » une succession. Le scénario type est presque toujours le même : un faux conseiller, une plateforme à l’apparence professionnelle, un IBAN étranger, et des virements en cascade au fil des semaines. Quand la victime comprend, l’argent a quitté l’Union européenne, les escrocs ont disparu, et il ne reste qu’un seul interlocuteur solvable identifiable : la banque qui a exécuté les virements.

D’où la question, posée des dizaines de fois au juge depuis 2020 : la banque pouvait-elle voir le danger ? Devait-elle alerter ? Doit-elle indemniser ? Les juridictions du fond ont longtemps oscillé. Certaines cours d’appel — Grenoble, Bourges, Paris — ont retenu, dans des hypothèses précises, un manquement de la banque à un « devoir de mise en garde » ou à un « devoir de vigilance ». La chambre commerciale de la Cour de cassation, elle, a rendu en quelques mois plusieurs arrêts qui dessinent une ligne ferme. Celui du 25 mars 2026, publié au Bulletin (recueil C, formation F-B), achève de la consolider.

Quels étaient les faits à l’origine du litige ?

Le 17 juillet 2018, une cliente d’une caisse de Crédit mutuel donne à sa banque l’ordre d’exécuter trois virements depuis son compte vers un compte ouvert dans un établissement allemand. L’objectif est explicite : réaliser des investissements sur le marché des crypto-actifs. Les fonds sont effectivement transférés. La promesse de rendement ne se matérialise jamais ; les sommes sont perdues.

La cliente assigne sa banque en responsabilité, en lui reprochant un manquement à un devoir de vigilance et à un devoir de mise en garde. Elle soutient que la banque, professionnelle avertie, devait s’apercevoir du caractère anormal et risqué de l’opération. Ses arguments principaux : la multiplicité des transferts, leur montant important, le fait qu’ils représentaient l’intégralité de son épargne, le caractère inhabituel de telles opérations dans son fonctionnement de compte, et la localisation à l’étranger de la banque destinataire.

Pourquoi la cour d’appel avait-elle condamné la banque ?

La cour d’appel de Grenoble, dans son arrêt du 12 novembre 2024, avait fait droit aux demandes de la cliente. Pour retenir la responsabilité de la banque, elle s’était fondée sur un faisceau d’indices objectifs : la multiplicité des transferts, leurs montants élevés, le fait qu’ils représentaient la totalité de l’épargne disponible, le caractère inhabituel de ce type d’opération dans le fonctionnement antérieur du compte, et la localisation, en Allemagne, de l’établissement destinataire.

Pour la cour grenobloise, ces éléments — pris ensemble — auraient dû appeler l’attention de la banque, en lui imposant de mettre la cliente en garde « contre des investissements aventureux ». Ne l’ayant pas fait, la banque avait, selon la cour d’appel, manqué à ses obligations de diligence et de mise en garde, et devait réparation sur le terrain de la perte de chance — la chance perdue étant, en substance, celle de ne pas contracter avec la plateforme bénéficiaire des virements.

Le raisonnement de Grenoble traduisait une intuition partagée par beaucoup : entre l’ordre du client, vu de l’extérieur, et la réalité d’une fraude orchestrée à distance, il existerait un espace dans lequel la banque, par sa connaissance du circuit financier et son expertise des opérations atypiques, peut — et donc doit — élever la voix.

Quelle solution la Cour de cassation pose-t-elle ?

La chambre commerciale casse l’arrêt grenoblois sans détour. Elle pose la règle dans un attendu général, au visa de l’article 1231-1 du code civil :

« Il résulte de l’article 1231-1 du code civil que la banque qui reçoit un ordre de virement en vue de réaliser un investissement agit en qualité de prestataire de services de paiement et que, dès lors qu’elle est tenue de ne pas s’immiscer dans les affaires de son client, elle n’est débitrice d’aucune obligation de conseil ou de mise en garde quant aux risques de l’investissement projeté. »

L’attendu se déploie en trois temps qui forment un raisonnement quasi syllogistique :

Le devoir de non-immixtion en deux mots

Ce principe n’est pas neuf. Il a été forgé par la chambre commerciale dès les années 1980 et constamment réaffirmé depuis. Il sert un double objectif : protéger la vie privée patrimoniale du client, et éviter que la banque ne devienne, malgré elle, juge en équité des choix de son client. À l’inverse, il interdit aussi à la banque, sauf cas particulier, de retenir un ordre, d’exiger des explications ou de bloquer un transfert au seul motif qu’il « semble » risqué.

Pourquoi exclure la mise en garde ?

Le devoir de mise en garde, en droit bancaire français, est une création prétorienne adossée à des hypothèses très précises : il s’applique typiquement au banquier dispensateur de crédit envers un emprunteur non averti et ne se déploie qu’au regard d’un risque d’endettement excessif au moment de la souscription du prêt. Il ne s’agit pas d’un devoir général de conseil sur l’opportunité économique d’une opération.

L’arrêt du 25 mars 2026 rappelle, implicitement mais clairement, que ce devoir n’a pas vocation à s’étendre aux opérations de paiement. La banque qui exécute un virement n’est ni un conseiller en investissement, ni un dispensateur de crédit. Elle ne reçoit, dans cette hypothèse, qu’un ordre du client, qu’elle a juridiquement l’obligation d’exécuter dès lors qu’il est régulier en la forme et que la provision est suffisante.

Que dit cette série jurisprudentielle ?

L’arrêt du 25 mars 2026 ne tombe pas du ciel. Il vient s’aligner sur une série déjà cohérente de décisions de la chambre commerciale. Deux arrêts du 1er octobre 2025 (pourvois n° 22-23.136 et n° 24-17.306) avaient déjà refusé de retenir un manquement de la banque dans des hypothèses très voisines (virements à destination de plateformes étrangères présentées comme dédiées à l’investissement). Quelques mois plus tard, le 4 février 2026 (pourvoi n° 24-19.196), la chambre commerciale réitérait la position. Le présent arrêt, rendu en formation publiée et au Bulletin, donne au principe son poids définitif.

Reste-t-il des cas où la banque peut être tenue ?

Oui — et c’est essentiel. La règle posée n’est pas absolue ; elle ferme une voie, pas toutes. Deux terrains restent ouverts pour les victimes.

Le filet de l’anomalie apparente

Le devoir de vigilance du banquier, même délié de tout devoir de conseil, suppose qu’il décèle ce qu’un professionnel normalement diligent ne pouvait pas ignorer : c’est la doctrine de l’anomalie apparente. Lorsqu’un ordre est entaché d’un défaut visible, matériel ou intellectuel — incohérence des mentions, identité douteuse du bénéficiaire, montage manifestement frauduleux — la banque ne peut pas se retrancher derrière le devoir de non-immixtion pour exécuter sans plus.

La frontière est étroite. La chambre commerciale, dans son arrêt rendu le même jour 25 mars 2026 sur le pourvoi n° 24-18.093, a précisé que le caractère international des virements, leurs montants importants, leur nombre et la courte période de leur exécution ne suffisent pas, pris isolément, à caractériser une anomalie apparente. En d’autres termes, l’inhabituel n’est pas l’anormal. Le critère reste exigeant : il faut un élément visible et incontestable.

La banque qui sait : un terrain résiduel

Plusieurs arrêts de cours d’appel — CA Bourges, 12 septembre 2025, n° 24/00430 ; CA Paris, 28 mai 2025, n° 24/02899 ; CA Riom, 22 novembre 2023, n° 22/00710 — ont retenu une responsabilité de la banque dans des hypothèses où celle-ci connaissait précisément la nature de l’investissement projeté (notamment parce que le client lui avait expliqué l’objet de l’opération ou parce que la banque avait eu accès à des éléments du dossier). Dans ces cas, le devoir de vigilance peut, en théorie, faire renaître une obligation de mise en garde — non pas sur l’opportunité économique de l’investissement, mais sur l’absence d’agrément réglementaire ou les risques propres à l’instrument.

Cette voie est étroite. Elle suppose, pour l’avocat de la victime, d’établir que la banque savait et que cette connaissance dépassait le simple intitulé du virement. C’est un travail probatoire exigeant, mais pas impossible.

Quelles conséquences pratiques pour les victimes ?

L’arrêt envoie un signal clair, à plusieurs adresses.

Pour les victimes de fraude crypto, l’angle « la banque aurait dû me prévenir » ne suffit plus. Construire une demande de réparation contre l’établissement bancaire impose de se positionner finement : démontrer, soit une anomalie matérielle visible dans l’ordre lui-même, soit une connaissance qualifiée par la banque de la nature exacte de l’opération.

Pour les avocats du contentieux bancaire, il faut désormais axer la procédure sur l’établissement de faits précis : échanges écrits avec la banque, formulaires d’opérations sensibles, dispositifs techniques internes (authentification forte et monitoring au titre du règlement technique RTS), anomalies dans les bénéficiaires ou les libellés. Les arguments généraux (« la cliente était retraitée », « les sommes étaient inhabituelles ») ne tiendront pas seuls. À noter : le devoir de vigilance LCB-FT, dont les manquements alimentent souvent les pourvois, ne peut pas servir directement de fondement à une demande d’indemnisation, la Cour de cassation l’ayant clairement écarté (Cass. com., 4 mars 2026, n° 24-19.588).

Pour les banques, l’arrêt ne signe pas une licence d’inaction. Il consacre une protection lorsqu’elles agissent en qualité de PSP strict sur un ordre régulier. Mais dès qu’un élément du dossier dépasse l’opération de paiement — connaissance de la plateforme bénéficiaire, dispositif de surveillance déclenché, alerte interne ignorée — la responsabilité peut renaître.

Notre regard critique sur l’arrêt

L’arrêt du 25 mars 2026 a été présenté comme le point d’aboutissement d’une jurisprudence consolidée. Pour les victimes que notre cabinet défend au quotidien, il appelle néanmoins plusieurs réserves. Trois lignes de critique nous paraissent devoir être posées — non pour contester la rigueur formelle de la décision, mais pour en interroger les choix et la portée.

Un syllogisme qui évacue les qualifications alternatives

La construction de l’attendu est élégante : la banque qui exécute un virement d’investissement est « simple PSP » → tenue de non-immixtion → donc déliée de toute obligation de conseil ou de mise en garde. Mais ce syllogisme tient pour acquis ce qui mériterait pourtant d’être discuté : la qualification exclusive de PSP.

Une banque qui exécute un virement vers une plateforme connue, ou qui aurait dû l’être, exerce-t-elle uniquement une fonction de paiement ? La pratique contredit cette épure. Lorsqu’un client signale à son conseiller, en agence ou par message, qu’il s’apprête à investir sur une plateforme dont la banque a accès, par sa connaissance des registres internationaux et des outils de surveillance des flux, à des informations défavorables (inscription sur la liste noire de l’AMF, alertes sectorielles internes, signalements Tracfin antérieurs sur le même IBAN destinataire), la qualification de simple PSP est, à tout le moins, partielle. La Cour aurait pu, sans rompre avec le devoir de non-immixtion, identifier une qualification alternative : celle d’un banquier informé qui, sans avoir à conseiller, a néanmoins l’obligation de transmettre une information dont il dispose et que le client, lui, ne peut pas avoir.

Ce raisonnement aurait permis de distinguer la situation où la banque est strictement aveugle (ordre standard, IBAN inconnu, aucune alerte) de la situation où elle sait ou aurait dû savoir. La solution retenue, par sa généralité, traite ces deux hypothèses de la même façon — au prix d’un appauvrissement du raisonnement.

Une portée qui pèse exclusivement sur le client

L’effet pratique de l’arrêt est d’imposer au client la totalité du fardeau probatoire et du risque économique de l’opération. C’est juridiquement défendable lorsque le client est, par hypothèse, un investisseur averti. C’est plus difficile à soutenir lorsque la victime est, comme dans l’affaire jugée, un particulier non professionnel exposé pour la première fois aux marchés des crypto-actifs et confronté à un faux conseiller dont il ne soupçonne pas la qualité.

L’asymétrie informationnelle n’est pas marginale : la banque dispose de bases de données internes, de listes de surveillance LCB-FT, d’historiques de flux et de partenaires de compliance qui sont totalement hors de portée du client. Refuser, par principe, toute traduction de cette asymétrie en obligation d’information revient à entériner une protection à géométrie variable, plus favorable aux établissements qu’à leurs clients. Le critère de l’« intégralité de l’épargne », explicitement écarté par la Cour, en est l’illustration : il caractérise pourtant un signal qu’aucun professionnel diligent ne peut, en bonne foi, prétendre n’avoir pas vu.

Une solution en tension avec le standard européen

Le droit français se distingue, par cet arrêt, d’une orientation européenne plus exigeante. La directive sur les services de paiement (DSP2) et les standards techniques de l’EBA imposent, notamment dans le cadre de l’authentification forte et de la lutte anti-fraude, une vigilance accrue lorsque l’opération s’écarte du profil-client. La Cour de justice de l’Union européenne, en matière de protection du consommateur (notamment sous l’angle des clauses abusives et de l’information précontractuelle), tend à consacrer une protection plus étendue qu’en droit français interne.

L’arrêt du 25 mars 2026 évolue à l’inverse de cette dynamique. Il consolide une lecture très libérale du devoir de non-immixtion, alors que les textes européens et la jurisprudence de la CJUE encouragent une lecture davantage protectrice. Il n’est pas exclu que cette tension se traduise, à terme, par une question préjudicielle ou par une évolution textuelle (une éventuelle DSP3, en discussion à Bruxelles, pourrait préciser le standard de vigilance dans les opérations de paiement à risque). Pour les victimes, cette perspective européenne reste un levier à explorer, en particulier lorsque le banquier exerce des activités de PSP transfrontalières.

Comment se prémunir d’une fraude crypto ?

L’arrêt du 25 mars 2026 fait peser sur le client une responsabilité accrue dans la décision d’investir. Quelques réflexes simples restent les meilleures protections — et bien plus efficaces qu’un recours a posteriori.

Premier réflexe : vérifier l’enregistrement de la plateforme. En France, tout prestataire de services sur actifs numériques (PSAN) doit être enregistré auprès de l’AMF. La liste est consultable en ligne ; à l’inverse, l’AMF publie une liste noire des sites illégaux. Aucun investissement ne doit être confié à un acteur absent de la liste blanche ou présent sur la liste noire.

Deuxième réflexe : se méfier des promesses de rendement. Les rendements à deux chiffres mensuels sans risque n’existent pas. Plus la promesse est forte, plus l’arnaque est probable.

Troisième réflexe : ne jamais confier la gestion de son compte ou de son portefeuille à un tiers. Le « conseiller » qui demande l’accès à votre espace bancaire ou à votre wallet est un escroc dans la quasi-totalité des cas.

Quatrième réflexe : prendre conscience que la banque n’interviendra pas pour bloquer une opération autorisée par vous. Cette jurisprudence le confirme. La protection se joue avant le clic « Valider ».

Que retenir et comment agir ?

L’arrêt du 25 mars 2026 verrouille, pour le moment, la voie de la mise en garde du banquier dans les opérations de paiement à destination de plateformes d’investissement. Sa rigueur formelle ne doit pourtant pas faire oublier les choix qu’il opère — choix d’une qualification univoque (PSP strict), choix d’une lecture restrictive du devoir de vigilance, choix d’un fardeau probatoire intégralement porté par le client. Notre cabinet considère ces choix comme contestables : ils appauvrissent le raisonnement, ignorent une asymétrie informationnelle pourtant centrale et s’écartent du standard européen de protection.

Pour les victimes, le combat n’est ni clos ni perdu : il se déplace. Il se gagne désormais sur des terrains plus techniques — anomalie apparente caractérisée, connaissance qualifiée par échanges identifiés, manquements aux obligations RTS issues de DSP2 (sous-mobilisées en pratique), irrégularité de l’identifiant unique, mobilisation du droit européen. Il se gagne aussi en parallèle de la voie civile, sur le terrain pénal (escroquerie, blanchiment) et sur les voies de recouvrement à l’étranger.

Si vous avez perdu de l’argent dans une fraude à l’investissement crypto, la bonne question n’est plus seulement « ma banque a-t-elle vu venir ? ». Elle devient : « quels éléments du dossier permettent d’établir un manquement précis et de mobiliser, à côté du droit interne, les leviers européens encore disponibles ? ». La réponse passe presque toujours par un audit complet de la chronologie de l’opération, des échanges et des dispositifs techniques (authentification forte, monitoring RTS) applicables. Un avocat habitué au contentieux bancaire saura mener cette analyse et, le cas échéant, identifier les angles juridiques que la décision laisse intacts.

FAQ — Questions fréquentes