Attribution et étiquetage

Un cluster indique que des adresses sont liées entre elles ; une étiquette indique à qui ou à quoi elles appartiennent. Les étiquettes transforment les graphes en conclusions (« les fonds sont arrivés sur la plateforme d’échange K », « l’adresse appartient à un contrat de pont »), mais c’est aussi là que les erreurs les plus dommageables s’introduisent dans un rapport. Cette leçon explique d’où viennent les étiquettes, comment les évaluer et les versionner, ainsi que les limites éthiques qui permettent de centrer l’attribution sur les services et les organisations plutôt que sur les personnes privées.

Qu’est-ce qu’une étiquette ?

Une étiquette est une affirmation : une adresse ou un cluster est contrôlé par une entité nommée ou appartient à une catégorie d’activité. Elle comporte trois éléments :

• Sujet : une adresse, un contrat ou un cluster à une hauteur de bloc donnée.
• Assertion : le nom d’une entité (« plateforme d’échange K »), une catégorie (« dépôt sur une plateforme d’échange », « pont », « mélangeur », « exploit », « escroquerie »), ou les deux.
• Fondement : la source et les éléments de preuve, la date d’observation et un niveau de confiance.

Distinguez les étiquettes d’entité des étiquettes de catégorie. Vous pouvez souvent être sûr qu’une adresse est une adresse de dépôt sur une plateforme d’échange (elle transfère tout vers un portefeuille chaud) sans savoir de quelle plateforme d’échange il s’agit, et vous pouvez savoir de quelle plateforme d’échange il s’agit sans connaître le client. Distinguez également les étiquettes des clusters. Une étiquette associée à une seule adresse de départ se propage à toutes les adresses de son cluster ; ce processus est appelé héritage d’étiquette. Une étiquette n’est donc jamais plus fiable que les liens entre clusters qui l’ont propagée.

Sources des étiquettes

Les transactions test sont la méthode de recherche classique. Meiklejohn et al. (2013, « A Fistful of Bitcoins ») ont effectué 344 transactions auprès de plateformes d’échange, de portefeuilles, de sites de jeux d’argent et d’autres services, étiqueté manuellement 1 070 adresses et, grâce au clustering, pu nommer 2 197 clusters couvrant plus de 1,8 million d’adresses. Cet exemple montre l’effet multiplicateur de l’héritage d’étiquette dans les deux sens : quelques observations de première main peuvent permettre d’étiqueter des millions d’adresses, et un seul lien erroné entre clusters peut entraîner l’étiquetage erroné de millions d’adresses.

Les publications officielles sont importantes dans les affaires très médiatisées. Après le vol du pont Ronin (2022) et le vol de Bybit (2025), les autorités ont publiquement attribué les attaques à un groupe lié à un État et publié les adresses concernées. Un analyste peut s’appuyer sur ces publications pour les adresses qu’elles nomment, en précisant clairement dans le rapport que l’attribution émane de l’autorité. Toute extension à d’autres adresses doit être considérée comme une inférence propre à l’analyste.

Deux étiquettes tierces concordantes ne constituent pas nécessairement deux sources. Les explorateurs et les jeux de données se recopient mutuellement ; une étiquette erronée peut donc apparaître à cinq endroits tout en n’ayant qu’une seule origine. Il s’agit de reprises circulaires ; retracez chaque étiquette jusqu’à son origine avant de la compter comme un élément corroborant.

Évaluer le niveau de confiance

Une échelle d’évaluation simple et explicite permet de comparer les étiquettes entre analystes :

Deux précisions sont importantes dans la pratique. Premièrement, évaluez séparément le lien entre les clusters et l’étiquette : une étiquette confirmée sur une adresse de départ, propagée par un lien de changement à faible niveau de confiance, donne une étiquette à faible niveau de confiance pour l’adresse qui l’hérite. Deuxièmement, évaluez séparément l’entité et la catégorie, comme indiqué ci-dessus. La leçon Confiance, incertitude et formulation explique comment intégrer ces niveaux dans la rédaction d’un rapport.

L’héritage nécessite également des règles définissant les liens qui peuvent propager une étiquette. Une politique courante consiste à ne propager les étiquettes d’entité qu’à travers des liens à haut niveau de confiance, généralement des liens d’entrée commune en excluant les CoinJoins, et à interrompre la propagation dès qu’un lien introduirait dans un même cluster l’étiquette d’une seconde entité différente. Les liens de changement et les liens propres aux modèles par compte peuvent toujours figurer dans un graphe, mais l’étiquette qu’ils propageraient est alors marquée comme inférée et son niveau de confiance est abaissé. Prenons un exemple détaillé : une étiquette confirmée de plateforme d’échange est associée à un portefeuille chaud ; 4 000 adresses de dépôt lui sont reliées par des balayages (entrée commune, niveau de confiance élevé) ; une autre adresse est reliée par un seul lien de changement de niveau de confiance modéré. Les 4 000 adresses de dépôt héritent de l’étiquette « plateforme d’échange K, confiance élevée » ; la dernière adresse hérite tout au plus de l’étiquette « plateforme d’échange K, confiance modérée », et un rapport qui comptabilise ses fonds comme des fonds de la plateforme d’échange doit le préciser.

Versionnage et provenance

Les étiquettes perdent de leur validité avec le temps. Les plateformes d’échange remplacent leurs portefeuilles chauds et réattribuent des adresses de dépôt ; les services fusionnent, ferment ou changent de propriétaire ; les contrats proxy sont mis à niveau vers de nouvelles implémentations ; les noms de services de nommage expirent et sont réenregistrés ; les attaquants transfèrent des fonds vers de nouvelles adresses. Une étiquette sans date et sans période de validité ne peut être ni vérifiée ni corrigée. Enregistrez chaque étiquette sous forme d’une entrée versionnée :

{
  "label_id": "lbl-000482",
  "version": 3,
  "subject": {"chain_id": 1, "address": "0xA1b2…9F"},
  "entity": "Exchange K",
  "category": "exchange_deposit",
  "source_type": "test_transaction",
  "evidence": ["deposit tx 0x4f3a…c21e", "sweep tx 0x9b7d…e014"],
  "observed_at_block": 21000000,
  "valid_from": "2024-11-02",
  "valid_to": null,
  "confidence": "confirmed",
  "analyst": "analyst-17",
  "supersedes": "lbl-000482-v2"
}

L’entrée identifie son sujet à l’aide d’un identifiant de chaîne, distingue l’entité de la catégorie, renvoie aux transactions qui la justifient et indique quand elle a été observée et à partir de quand elle s’applique. valid_to reste vide tant que des éléments de preuve ne démontrent pas que l’étiquette ne s’applique plus ; supersedes conserve l’historique, afin qu’un rapport rédigé l’année dernière puisse être reproduit avec les étiquettes qui étaient alors en vigueur. Le champ analyste permet la révision et la responsabilisation sans inclure de données personnelles dans l’entrée.

Une bonne gestion des étiquettes comprend :

1. La revérification des étiquettes à fort impact avant chaque rapport.
2. Des alertes de conflit lorsqu’un cluster reçoit deux étiquettes d’entité incompatibles, ce qui constitue souvent le premier signe d’une fusion erronée (voir la leçon Évaluer la qualité des clusters).
3. Le retrait plutôt que la suppression, afin que les conclusions antérieures restent explicables.

Vie privée et éthique

L’attribution dans l’analyse de chaînes de blocs vise les services, les organisations et les catégories d’activité : plateformes d’échange, ponts, protocoles, mélangeurs, contrats d’exploitation, opérations d’escroquerie nommées par les autorités ou les victimes. Il ne s’agit pas d’une technique permettant d’identifier des personnes privées ; les analystes doivent respecter cette limite même lorsque les données semblent inviter à la franchir.

• Étiquetez les entités, pas les personnes. Une adresse qui semble appartenir à une personne privée est étiquetée par catégorie (« portefeuille privé non attribué ») ou ne reçoit aucune étiquette.
• Ne combinez pas des sources pour démasquer une personne. Regrouper des schémas en chaîne avec des traces de sources ouvertes afin de nommer une personne privée revient à créer précisément le profil contre lequel les pratiques de protection des données mettent en garde. Une mauvaise identification peut exposer une personne innocente au harcèlement, voire à pire.
• L’identité s’établit par une procédure judiciaire. Lorsqu’une affaire nécessite réellement de savoir qui contrôle un compte, la démarche consiste à ce qu’une autorité compétente adresse une demande au service qui détient les dossiers clients, et non à procéder à une inférence publique.
• Considérez les déclarations personnelles comme des pistes. Une entrée dans un service de nommage ou un profil qui ressemble au nom d’une personne peut être authentique, usurpé ou revendu. Ces éléments doivent rester hors des documents partagés, sauf si un lecteur en a besoin pour agir et les reçoit par un canal restreint.
• Ne publiez que ce qui a déjà été rendu public ou ce dont le lecteur a besoin. Les adresses publiées par les autorités, les tribunaux ou l’organisation victime, ainsi que les noms des services, peuvent généralement figurer dans un rapport ; les liens inférés avec des personnes ne le peuvent pas.

La leçon Protection des données, éthique et divulgation responsable traite en détail de la minimisation des données, de la rédaction et des canaux de divulgation.

Points clés pour l’examen : une étiquette comme affirmation comportant un sujet, une assertion et un fondement ; la distinction entre les étiquettes d’entité et de catégorie ; l’héritage d’étiquettes à travers les clusters et les raisons pour lesquelles une étiquette n’est jamais plus fiable que les liens qui la propagent ; les principales sources d’étiquettes (auto-identification, transactions test, publications d’autorités, divulgations de victimes, OSINT sur les organisations, jeux de données tiers) et leurs faiblesses ; les reprises circulaires ; une échelle de confiance graduée et l’évaluation séparée du lien et de l’étiquette ; les raisons pour lesquelles les étiquettes perdent de leur validité et la façon dont des entrées versionnées comportant des périodes de validité et des éléments de preuve permettent de reproduire les conclusions ; une attribution visant les services et les organisations, jamais l’exposition de personnes privées, l’identité étant établie uniquement par une procédure judiciaire.