Blanchiment de capitaux et financement du terrorisme au moyen de crypto-actifs

Chaque contrôle d’un programme de conformité crypto vise à empêcher, détecter ou signaler une manière précise d’abuser des crypto-actifs. Si vous ne pouvez pas décrire comment les criminels transfèrent concrètement de la valeur par l’intermédiaire des plateformes d’échange, des portefeuilles et des protocoles, vous ne pouvez pas déterminer si une règle, un seuil de filtrage ou une note de risque client est adapté à son objectif. Cette leçon transpose au domaine des crypto-actifs le modèle classique du blanchiment de capitaux, passe en revue les principales typologies et explique pourquoi le registre public est autant un outil au service des équipes de conformité qu’un risque.

Les trois étapes transposées aux crypto-actifs

Le modèle théorique du blanchiment de capitaux comprend trois étapes. Il s’agit d’une simplification (les montages réels omettent, répètent ou fusionnent des étapes), mais ces étapes restent le vocabulaire commun des enquêteurs, des autorités de contrôle et des cellules de renseignement financier.

Deux caractéristiques changent la donne par rapport aux monnaies fiduciaires. Premièrement, la criminalité native aux crypto-actifs (rançongiciels, piratages, escroqueries payées en crypto-actifs) omet entièrement le placement : les produits du crime apparaissent directement sur la chaîne, si bien que la principale tâche du blanchisseur consiste à procéder à l’empilage et à trouver une voie de sortie fiable. Deuxièmement, la voie de sortie est le point de blocage. Presque tous les montages finissent par nécessiter un service de conservation, généralement une plateforme d’échange, un bureau OTC ou un prestataire de paiement, pour convertir les crypto-actifs en monnaie fiduciaire utilisable. Ce service, c’est votre entreprise.

Les principales typologies

Le GAFI, les équipes de surveillance du Conseil de sécurité des Nations Unies et les cellules de renseignement financier décrivent des schémas récurrents. Un professionnel de la conformité doit pouvoir reconnaître chacun d’eux et nommer le contrôle qui vise à le contrer.

Plusieurs de ces typologies se recoupent. Des pirates informatiques liés à des États combinent vol, empilage et contournement des sanctions. Des réseaux d’escroquerie ont recours à des mules financières qui ouvrent des comptes sur des plateformes d’échange pour convertir en monnaie fiduciaire les fonds de leurs victimes. Les signaux d’alerte détaillés pour chaque schéma sont abordés dans la leçon Signaux d’alerte et typologies ; l’objectif ici est de connaître les schémas existants et de savoir que chacun doit être intégré à votre évaluation des risques.

Les affaires publiques comme illustrations

Les affaires rendues publiques montrent ce qui a échoué, et c’est ce que doit retenir une équipe de conformité.

• Rançongiciels : en 2021, l’exploitant d’un grand oléoduc a versé une rançon d’environ 75 BTC. Les enquêteurs ont ensuite retracé la majeure partie des fonds jusqu’à une seule adresse et les ont récupérés, montrant que les produits des rançongiciels restent visibles sur la chaîne jusqu’à ce qu’ils atteignent un intermédiaire coopératif.
• Vols liés à des États : en mars 2024, le Groupe d’experts sur la RPDC du Conseil de sécurité des Nations Unies a indiqué enquêter sur 58 cyberattaques présumées de la RPDC contre des entreprises liées aux crypto-actifs entre 2017 et 2023, pour un montant d’environ 3 milliards USD. Le vol d’environ 1,46 milliard USD sur la plateforme d’échange Bybit en février 2025, attribué à des acteurs nord-coréens, était à l’époque le vol unique le plus important jamais enregistré. Les actifs volés ont été échangés et transférés entre plusieurs chaînes en quelques jours.
• Empilage de fonds issus d’un piratage : les personnes condamnées pour le blanchiment des fonds volés lors du piratage de Bitfinex en 2016 ont utilisé des milliers de transactions automatisées, des transferts entre chaînes, des comptes de marchés du dark web comme comptes de transit, la conversion en monnaies de confidentialité et des comptes ouverts sous de fausses identités sur des plateformes d’échange. Ces comptes constituaient la porte d’entrée pour convertir les fonds en monnaie fiduciaire, d’où l’importance de la vérification d’identité sur chaque plateforme d’échange.
• Financement du terrorisme : en 2020, les autorités ont démantelé des campagnes en ligne de groupes terroristes qui demandaient des dons en bitcoin à leurs sympathisants et publiaient des adresses sur les réseaux sociaux et les canaux de messagerie. Ces adresses pouvaient faire l’objet d’un filtrage une fois identifiées.

La pseudonymité n’est pas l’anonymat

La plupart des chaînes de blocs publiques sont pseudonymes : les transactions sont liées à des adresses, et non à des noms, mais chaque transaction est publique, permanente et horodatée. Trois faits en découlent pour la conformité.

1. Un seul point identifié permet de consulter tout un historique. Lorsqu’un client vérifie son identité auprès de votre entreprise, chaque adresse depuis laquelle il effectue un dépôt ou vers laquelle il effectue un retrait est liée à une personne réelle dans vos dossiers, et l’historique sur la chaîne de ces adresses devient une preuve.
2. Les outils d’analyse peuvent regrouper et étiqueter des adresses. Les heuristiques de regroupement et l’attribution permettent aux analystes d’estimer quelles adresses appartiennent à la même entité et lesquelles sont liées à des services, à des parties visées par des sanctions ou à des portefeuilles criminels. Ces estimations comportent des marges d’erreur (voir la leçon IDFE-BA Ce qu’est le regroupement et pourquoi il est important).
3. L’obfuscation laisse des traces. Le recours à un service de mixage, à un pont ou à une monnaie de confidentialité est visible à la frontière : le dépôt dans le service de mixage et le retrait vers votre plateforme apparaissent tous deux sur la chaîne, même si le lien entre eux est rompu.

Il est plus difficile d’atteindre un véritable anonymat que les criminels ne l’espèrent, mais ce n’est pas impossible. Les monnaies de confidentialité dissimulent par conception les montants et les contreparties, et certaines techniques de mixage rendent le traçage inefficace dans la pratique. La leçon Risques technologiques propres aux crypto-actifs traite ces caractéristiques comme des facteurs de risque.

Interpréter les chiffres sur le volume de la criminalité

On demande souvent aux équipes de conformité quelle est l’ampleur du problème. Il faut utiliser les chiffres avec prudence.

• L’Office des Nations Unies contre la drogue et le crime cite depuis longtemps des estimations selon lesquelles 2 % à 5 % du PIB mondial est blanchi chaque année. Ce chiffre est ancien, très approximatif et concerne tous les canaux, pas seulement les crypto-actifs.
• Les sociétés d’analyse de chaînes de blocs publient des estimations de la part illicite du volume sur la chaîne. Ces estimations ne comptabilisent que les adresses déjà identifiées comme illicites ; elles sont donc généralement révisées à la hausse à mesure que de nouvelles adresses sont identifiées.
• La composition des actifs évolue également. Les stablecoins ont supplanté le bitcoin comme principal actif utilisé dans les flux illicites pour de nombreuses typologies, ce qui a des conséquences sur les jetons et les chaînes qu’une entreprise doit pouvoir filtrer.

Considérez chaque chiffre comme une illustration datée qui dépend de la méthode utilisée. Dans un document destiné au conseil d’administration ou dans une évaluation des risques, indiquez qui l’a estimé, quand et comment, et ne vous fondez jamais sur un chiffre couvrant l’ensemble du marché pour établir la notation des risques de votre entreprise. Ce qui compte, c’est l’exposition révélée par vos propres clients et flux.

De la typologie au contrôle

Cette formation vise à développer une habitude pratique : traduire chaque typologie en une question à laquelle votre programme doit répondre.

Chaque ligne réapparaît plus loin dans la formation sous la forme d’un contrôle concret étayé par des preuves : le filtrage dans la leçon Filtrage des portefeuilles et des transactions, la surveillance dans la leçon Surveillance des transactions pour les entreprises crypto et le signalement dans la leçon Obligations de signalement des transactions suspectes.

Points clés pour l’examen : le placement, l’empilage et l’intégration, ainsi que leurs équivalents dans le monde des crypto-actifs ; pourquoi les produits de la criminalité native aux crypto-actifs omettent le placement et pourquoi la voie de sortie vers les monnaies fiduciaires est le point de blocage ; les sept principales typologies et la manière dont un PSAV repère chacune d’elles ; ce que montrent les affaires publiques (récupération de rançons, vols liés à la RPDC, blanchiment des fonds de Bitfinex, campagnes de dons terroristes) sur les défaillances des contrôles ; pourquoi la pseudonymité n’est pas l’anonymat et comment la vérification d’identité d’un seul client permet d’associer une adresse à son historique ; pourquoi les chiffres publiés sur le volume de la criminalité sont des illustrations datées et dépendantes de la méthode, et non une base pour établir la notation des risques d’une entreprise.