Suivre la valeur à travers les plateformes d’échange et les services

Tôt ou tard, presque toutes les pistes mènent à une plateforme d’échange, un courtier, un processeur de paiement ou un autre service dépositaire. C’est souvent le point le plus utile d’une enquête, car les services connaissent leurs clients et peuvent geler les fonds, mais c’est aussi là que le traçage on-chain s’arrête. Les analystes doivent savoir reconnaître l’apparence des services on-chain, préciser exactement ce que la chaîne montre ou ne montre pas au-delà de ce point et préparer les éléments recueillis afin que les dossiers hors chaîne puissent être demandés par les voies appropriées.

L’apparence d’un service dépositaire on-chain

La plupart des plateformes d’échange centralisées suivent une architecture similaire :

• Adresses de dépôt : chaque client reçoit une ou plusieurs adresses qui appartiennent à la plateforme d’échange, mais sont attribuées au compte de ce client. Les fonds envoyés à ces adresses sont crédités au client dans le registre interne de la plateforme d’échange.
• Transferts de consolidation : la plateforme d’échange transfère périodiquement les fonds de nombreuses adresses de dépôt vers un portefeuille chaud central. Sur les chaînes UTXO, il s’agit d’une transaction de grande ampleur avec de nombreuses entrées ; sur Ethereum, il s’agit d’une série de transferts depuis chaque adresse de dépôt vers la même destination, souvent après que la plateforme d’échange a envoyé un peu d’ETH pour payer le gas.
• Stockage à froid : la plupart des réserves sont transférées du portefeuille chaud vers des portefeuilles hors ligne ou multisignatures, et en reviennent au besoin.
• Retraits : les retraits des clients sont payés depuis le portefeuille chaud, souvent regroupés en une seule transaction comportant de nombreuses sorties.

Certains services utilisent plutôt des adresses omnibus : une adresse reçoit les fonds de tous les clients, et le client est identifié par un tag ou un mémo intégré à la transaction, comme le tag de destination sur le XRP Ledger ou le champ mémo sur Stellar. Dans ce cas, l’adresse à elle seule identifie uniquement le service ; le client est identifié par le tag, et un dépôt envoyé sans ce tag nécessite généralement que le service procède à une récupération manuelle.

Une séquence fictive sur Ethereum illustre le schéma dépôt et consolidation :

bloc      de            vers          montant (ETH)  remarque
21004112   0xF00d…11  →  0x7c3E…a2     2.5000        dépôt depuis un portefeuille faisant l’objet de l’enquête
21004140   0x9aB4…07  →  0x7c3E…a2     0.7500        deuxième expéditeur, même adresse de dépôt
21004233   0x7c3E…a2  →  0xE1f9…44     3.2489        transfert vers le portefeuille chaud (3.25 moins le gas)
21004990   0xE1f9…44  →  0x51e0…3b     3.1000        retrait effectué par un client quelconque

Les trois premières lignes constituent des indices solides : 0x7c3E…a2 transfère tout vers 0xE1f9…44, qui est étiqueté comme le portefeuille chaud de la plateforme d’échange ; il est donc très probable que 0x7c3E…a2 soit une adresse de dépôt de cette plateforme, attribuée à un compte. Le deuxième expéditeur est également intéressant : deux portefeuilles différents qui envoient des fonds vers une même adresse de dépôt suggèrent qu’ils sont tous deux liés au même client (voir la leçon Heuristiques des modèles de compte). La quatrième ligne ne peut pas être reliée au dépôt.

Pourquoi le traçage on-chain s’arrête

Une fois les fonds regroupés, ils rejoignent un pool appartenant au service et contenant l’argent de milliers de clients. Le solde du client devient une entrée dans une base de données privée. Un retrait ultérieur effectué par ce même client est payé à partir des pièces que contient alors le portefeuille chaud, lesquelles peuvent provenir du dépôt de n’importe qui.

Ainsi, deux affirmations souvent présentes dans des rapports de faible qualité ne sont pas étayées par les données on-chain :

• « Les fonds volés ont été retirés de la plateforme d’échange vers l’adresse Z. » La chaîne ne permet pas de déterminer quel retrait correspond à quel dépôt.
• « L’adresse Z appartient à la même personne, car elle a reçu le même montant une heure plus tard. » La similitude du montant et de l’heure constitue une hypothèse à vérifier, pas un lien ; les plateformes d’échange très actives traitent chaque heure de nombreux retraits de montants similaires.

Appliquer la méthode FIFO ou une décote à travers un portefeuille chaud (voir la leçon Suivre les fonds vers l’avant et vers l’arrière) donne des chiffres, mais ceux-ci décrivent la règle et non les livres comptables du service. La plupart des analystes traitent un service étiqueté comme un point d’arrêt et indiquent « déposé auprès de » plutôt que « a transité par ».

Tous les services ne mettent pas fin à la piste ; il est utile de les classer avant de commencer :

Les lignes correspondant aux mécanismes non dépositaires décrivent des mécanismes plutôt que des contreparties. Leur traçage est abordé dans les leçons Mixeurs, CoinJoin et obfuscation dans les graphes et Traçage inter-chaînes.

Ce que vous pouvez encore établir

La frontière du service n’est pas une impasse, mais un point de relais. À partir de la chaîne, vous pouvez encore établir :

• Quel service a reçu les fonds, ainsi que le fondement de cette attribution (voir la leçon Attribution et étiquetage).
• L’adresse de dépôt, qui correspond à un compte client dans la plupart des configurations de plateformes d’échange, ou l’adresse omnibus accompagnée du tag.
• Les dépôts exacts : txid, hauteur de bloc, heure UTC, actif, montant et parcours depuis la source, avec le nombre de sauts et la méthode de répartition.
• Les autres dépôts vers la même adresse, qui peuvent révéler davantage d’activités du sujet ou d’autres victimes.
• Les services intermédiaires : un service de moindre envergure, comme un courtier ou un bureau d’échange, qui détient un compte auprès d’une grande plateforme d’échange. Les fonds provenant de l’adresse de dépôt du service intermédiaire appartiennent aux clients de ce dernier, et non au service lui-même. Une demande adressée à la grande plateforme d’échange identifie donc l’intermédiaire, et une deuxième demande est nécessaire.

Un cas public : Bitfinex 2016

Le piratage de la plateforme d’échange Bitfinex en 2016 illustre concrètement ce relais. Selon le ministère de la Justice des États-Unis, l’attaquant a effectué plus de 2 000 transactions non autorisées qui ont envoyé 119 754 BTC vers un seul portefeuille. Sur une période d’environ cinq ans, près de 25 000 BTC ont quitté ce portefeuille dans le cadre d’un processus complexe de blanchiment : comptes ouverts sous de fausses identités auprès de plateformes d’échange et de marchés du darknet, transactions automatisées, conversion en d’autres actifs, notamment des monnaies axées sur la confidentialité (« chain hopping »), et recours à des services de mixage. Les analystes ont indiqué que le marché du darknet AlphaBay avait servi de mélangeur de fortune : des bitcoins volés y étaient déposés, puis des montants équivalents en étaient retirés.

Chaque service dépositaire a interrompu la piste on-chain, mais chacun a aussi constitué une source de dossiers. Les enquêteurs ont suivi une partie des fonds jusqu’à un service qui vendait des cartes-cadeaux contre des cryptomonnaies ; les dossiers indiquant où une carte avait été utilisée ont mené aux accusés, puis des mandats de perquisition ont permis de récupérer des fichiers stockés dans le cloud contenant les clés privées du portefeuille. Plus de 94 000 BTC se trouvaient toujours dans le portefeuille d’origine et ont été saisis en février 2022. La leçon à retenir pour les analystes : le traçage on-chain a permis de repérer les points d’entrée et de sortie des services, et les dossiers hors chaîne ont comblé les lacunes entre ces points.

Demander des dossiers hors chaîne

Les personnes autorisées à obtenir les dossiers des clients et les modalités de cette obtention dépendent de la juridiction ; ce cours ne décrit donc le processus que de façon générale. Dans la plupart des systèmes, la demande émane d’une autorité compétente (police, procureur, cellule de renseignement financier ou tribunal) ou d’une victime dans le cadre d’une procédure civile. Les plateformes d’échange collaborent également entre leurs équipes de conformité et publient des canaux destinés aux demandes des autorités chargées de l’application de la loi. Étapes types :

La rapidité est essentielle : les fonds d’un portefeuille chaud peuvent être retirés en quelques minutes. Après le vol de Bybit en 2025, le FBI a publié des dizaines d’adresses liées au blanchiment et a demandé aux plateformes d’échange, aux ponts et à d’autres services de bloquer les transactions issues de ces adresses.

Le dossier préparé par un analyste en vue d’une telle demande doit contenir le nom du service et le fondement de son attribution, les adresses de dépôt et les tags, un tableau des txid de dépôt avec les hauteurs de bloc, les heures UTC et les montants, un schéma du parcours depuis la source, la méthode de traçage et ses limites, ainsi qu’une déclaration du niveau de confiance. Soyez précis et concis ; l’équipe de conformité du destinataire effectuera ses recherches à partir des adresses et des txid, et non d’un récit.

Points clés pour l’examen : l’architecture on-chain d’une plateforme d’échange dépositaire (adresses de dépôt, transferts de consolidation, portefeuilles chauds et froids, retraits groupés) et les adresses omnibus avec tags ou mémos ; les raisons pour lesquelles le traçage s’arrête au niveau d’un service et pour lesquelles les liens entre dépôts et retraits ne peuvent pas être établis on-chain ; ce que l’adresse de dépôt permet d’établir ; les services intermédiaires et la raison pour laquelle ils nécessitent une deuxième demande ; le cas Bitfinex 2016 comme exemple de ruptures liées aux services dépositaires, comblées par des dossiers hors chaîne ; les étapes générales de conservation, de gel, de communication et de coopération internationale ; les éléments que doit contenir le dossier préparé par un analyste.