Risques technologiques propres aux cryptoactifs

Les cryptoactifs ajoutent une catégorie de risques dont les programmes traditionnels de LBC n’avaient guère à se préoccuper : la technologie elle-même. Le fait qu’une entreprise prenne en charge une cryptomonnaie de confidentialité, accepte des dépôts provenant d’un pont ou permette aux clients d’effectuer des retraits vers n’importe quelle adresse modifie son exposition autant que l’identité de ses clients. Le responsable de la conformité doit comprendre suffisamment chaque fonctionnalité pour en évaluer le risque, le maîtriser et expliquer au conseil d’administration pourquoi l’entreprise l’accepte, la limite ou la refuse.

La technologie comme catégorie de risques

La Recommandation 15 exige des entreprises qu’elles évaluent les risques liés aux nouveaux produits, aux nouvelles pratiques commerciales, aux nouveaux mécanismes de distribution et aux nouvelles technologies avant leur lancement, et les lignes directrices actualisées du GAFI de 2021 sur les actifs virtuels traitent des fonctionnalités qui renforcent l’anonymat ou rendent les flux opaques. Dans l’évaluation des risques à l’échelle de l’entreprise (voir la leçon L’approche fondée sur les risques), la catégorie des technologies pose trois questions pour chaque fonctionnalité :

1. Rompt-elle la traçabilité ? La valeur peut-elle circuler sans lien visible entre la source et la destination ?
2. Supprime-t-elle l’intermédiaire ? La valeur peut-elle circuler sans qu’aucune entité assujettie n’applique de mesures de vigilance à l’égard de la clientèle ?
3. Pouvons-nous l’observer ? Nos outils de filtrage et d’analyse couvrent-ils la blockchain, le jeton ou le protocole ?

Une réponse « oui, oui, non » correspond au profil d’une fonctionnalité à haut risque.

Cryptomonnaies de confidentialité, mélangeurs et CoinJoin

Les cryptomonnaies de confidentialité, que le GAFI appelle cryptomonnaies à anonymat renforcé, dissimulent par conception les expéditeurs, les destinataires ou les montants, par exemple au moyen de signatures en anneau, d’adresses furtives ou de preuves à divulgation nulle de connaissance. Certaines proposent une confidentialité facultative, auquel cas les transactions transparentes restent traçables. Pour un PSAV, le problème est concret : une fois que les fonds entrent dans un pool protégé, les outils d’analyse ne peuvent plus montrer d’où provenaient les dépôts.

Les mélangeurs regroupent les fonds de nombreux utilisateurs et les reversent à de nouvelles adresses. Les mélangeurs centralisés assurent la conservation des fonds ; les mélangeurs à contrats intelligents, tels que Tornado Cash, fonctionnent sans qu’un opérateur détienne les fonds. CoinJoin combine les entrées de plusieurs utilisateurs en une seule transaction comportant des sorties de même valeur. Le mélange a des usages légitimes de protection de la vie privée, mais les mélangeurs ont également joué un rôle central dans le blanchiment du produit de rançongiciels et de vols liés à la RPDC, et les indicateurs d’alerte du GAFI (septembre 2020) mentionnent les fonds provenant directement de services de mélange. La manière dont le mélange apparaît sur la blockchain est traitée dans les leçons IDFE-CF Les mélangeurs avec conservation des fonds, CoinJoin et Les mélangeurs à contrats intelligents ; les sanctions visant les contrats intelligents sont traitées dans la leçon Le filtrage des portefeuilles et des transactions.

Ponts, sauts de chaîne, DeFi et DEX

Les ponts transfèrent de la valeur entre blockchains en verrouillant ou en détruisant des actifs sur une blockchain et en libérant ou en créant des actifs sur une autre. Les sauts de chaîne consistent à utiliser des ponts et des conversions pour transférer rapidement de la valeur entre plusieurs blockchains, de sorte que chaque vue analytique n’en montre qu’un fragment. Après le vol d’environ 620 millions USD sur le pont Ronin en 2022 et le vol subi par Bybit en 2025, tous deux attribués à des acteurs liés à la RPDC, les actifs volés ont transité par plusieurs blockchains en quelques jours. Les ponts sont eux-mêmes aussi des cibles de piratage.

Les protocoles de DeFi et les plateformes d’échange décentralisées (DEX) permettent aux utilisateurs d’effectuer des conversions, de prêter et d’emprunter sans dépositaire. Le risque pour un PSAV est indirect : les fonds provenant d’un routeur de DEX ou d’un pool de prêt ne contiennent aucune information sur la personne qui les a fournis, et le protocole n’applique aucune mesure de vigilance à l’égard de la clientèle. Vos contrôles reposent sur l’analyse de l’exposition sur la blockchain, la couverture des blockchains concernées et les méthodes de traçage interchaînes décrites dans la leçon IDFE-CF Les sauts de chaîne et le traçage interchaînes.

Portefeuilles non hébergés, P2P et OTC

Les portefeuilles non hébergés sont contrôlés par l’utilisateur, sans intermédiaire. La plupart des transferts à destination ou en provenance de ces portefeuilles sont légitimes, mais les transferts P2P entre portefeuilles non hébergés se déroulent entièrement en dehors du périmètre des entités assujetties, une lacune que les mises à jour ciblées du GAFI ont soulignée à plusieurs reprises. Les contrôles des PSAV se concentrent sur les points de passage : recueillir des informations sur les contreparties, obtenir une preuve de propriété de l’adresse lorsque le risque l’exige et surveiller l’exposition (voir la leçon Les portefeuilles non hébergés et les transferts autohébergés).

Les plateformes P2P et les courtiers OTC créent un risque connexe : un client qui effectue un volume important d’opérations pour le compte d’autrui peut exploiter une plateforme d’échange non enregistrée par l’intermédiaire du compte qu’il détient chez vous, ce que l’on appelle un service imbriqué. Les bureaux OTC qui règlent des opérations importantes en espèces ou par l’intermédiaire de tiers constituent un moyen classique de convertir des fonds criminels en monnaie fiduciaire en cryptoactifs, et inversement.

Bornes, NFT et stablecoins à grande échelle

Les distributeurs automatiques et bornes de cryptoactifs associent les espèces à la remise instantanée de cryptoactifs. Leurs risques récurrents sont les victimes d’escroqueries guidées pour déposer des espèces, les mules financières effectuant de nombreuses petites transactions et la faiblesse des contrôles d’identité pour les faibles montants. Les opérateurs atténuent ces risques au moyen de plafonds de transaction, de la vérification de l’identité, d’avertissements à l’écran, de la surveillance des utilisations répétées sur plusieurs bornes et du filtrage des adresses de destination.

Les NFT sont généralement exclus de la définition des actifs virtuels lorsqu’ils sont utilisés comme objets de collection (voir la leçon Le PSAV en tant qu’entité assujettie), mais les places de marché connaissent des opérations fictives, des manipulations de prix et des ventes de grande valeur entre portefeuilles liés qui peuvent dissimuler des transferts de valeur.

Les stablecoins sont désormais le principal actif de règlement de nombreux flux légitimes et illicites. Le rapport ciblé du GAFI sur les stablecoins et les portefeuilles non hébergés (mars 2026) s’appuyait sur des données sectorielles montrant qu’ils sont devenus la catégorie d’actifs la plus utilisée dans les flux illicites d’actifs virtuels, une évolution qui s’explique par la stabilité de leur prix, leur liquidité et leur présence sur de multiples blockchains. Pour l’évaluation des risques, cela signifie que l’exposition aux stablecoins, par jeton et par blockchain, constitue un facteur majeur à part entière. Les stablecoins offrent également un moyen d’atténuation dont la plupart des actifs sont dépourvus : de nombreux émetteurs peuvent geler des adresses, et le même rapport citait parmi les bonnes pratiques le fait d’exiger des émetteurs qu’ils soient en mesure de geler, de détruire ou de retirer des jetons sur le marché secondaire. Une équipe de conformité doit savoir quels stablecoins elle prend en charge, sur quelles blockchains et si leurs émetteurs procèdent effectivement à des gels.

Comment chaque fonctionnalité entre dans l’évaluation des risques

Les évaluations doivent reposer sur vos propres données, et non sur un tableau générique. La requête ci-dessous mesure la part du volume entrant mensuel qui provient directement de chaque catégorie analytique, ce qui donne à l’EWRA une base factuelle et permet au conseil d’administration de voir les tendances.

-- Volume entrant mensuel par catégorie d’exposition directe (schéma fictif)
SELECT DATE_TRUNC('month', d.block_time)          AS month,
       COALESCE(e.category, 'unlabeled')          AS category,  -- mélangeur, pont, dex...
       COUNT(*)                                   AS deposits,
       SUM(d.amount_usd)                          AS volume_usd,
       SUM(d.amount_usd) * 1.0 / SUM(SUM(d.amount_usd))
         OVER (PARTITION BY DATE_TRUNC('month', d.block_time)) AS share_of_month
FROM deposits d
LEFT JOIN address_exposure e
  ON  e.address = d.source_address
  AND e.exposure_type = 'direct'
  AND e.snapshot_date = d.screened_on          -- étiquette connue au moment du filtrage
GROUP BY DATE_TRUNC('month', d.block_time), COALESCE(e.category, 'unlabeled')
ORDER BY month, volume_usd DESC;

La requête associe chaque dépôt à l’étiquette analytique qui s’appliquait à son adresse source le jour de son filtrage, de sorte que les chiffres reflètent ce que l’entreprise savait alors. Une jointure gauche conserve les dépôts sans étiquette dans le total, ce qui évite de surestimer les parts, et la fonction de fenêtrage divise le volume de chaque catégorie par le total du mois. Les fonctions de date diffèrent selon les moteurs (certains utilisent DATETRUNC ou DATE_FORMAT). L’exposition indirecte et les limites des étiquettes sont traitées dans la leçon L’analyse blockchain au service de la conformité.

Atténuation et évitement généralisé des risques

Face à une fonctionnalité risquée, une entreprise dispose d’un éventail gradué d’options : l’accepter avec une surveillance, appliquer des limites ou une vigilance renforcée, restreindre la fonctionnalité (par exemple, autoriser les dépôts mais pas les retraits vers certains protocoles), ou la refuser entièrement. L’approche fondée sur les risques exige que le choix découle de l’évaluation, au cas par cas.

Le GAFI a mis en garde à plusieurs reprises contre l’évitement généralisé des risques, qui consiste à exclure des catégories entières de clients ou d’activités pour éviter le risque plutôt que de le gérer. Sa déclaration d’octobre 2014 indiquait que l’approche fondée sur les risques suppose des décisions au cas par cas, et non un évitement généralisé des risques, et son bilan d’octobre 2021 sur les conséquences involontaires des normes constatait que l’évitement des risques pousse les activités vers des circuits moins transparents et nuit à l’inclusion financière. Les modifications de février 2025 apportées à la Note interprétative de la R.1 demandent aux autorités de contrôle de surveiller les pratiques de surconformité fondées sur une compréhension partielle des risques.

Le refus d’une fonctionnalité reste légitime lorsque l’entreprise ne peut réellement pas en maîtriser les risques, comme dans le cas d’une cryptomonnaie de confidentialité dont ses outils ne peuvent pas filtrer les transactions. Le critère consiste à déterminer si la décision est documentée, fondée sur l’évaluation propre à l’entreprise et réexaminée lorsque les outils ou les faits évoluent. « Nous avons bloqué tous les transferts vers des portefeuilles non hébergés parce que c’était plus simple » ne satisfait pas à ce critère ; « nous ne proposons pas l’actif Z parce qu’aucune couverture de filtrage n’existe, avec un réexamen trimestriel » y satisfait.

Points clés pour l’examen : l’obligation prévue par la R.15 d’évaluer les nouvelles technologies avant leur lancement ; les trois questions (rupture de la traçabilité, suppression de l’intermédiaire, visibilité) pour évaluer une fonctionnalité ; les risques liés aux cryptomonnaies de confidentialité, aux mélangeurs et à CoinJoin, aux ponts et aux sauts de chaîne, à la DeFi et aux DEX, aux portefeuilles non hébergés et au P2P, à l’OTC et aux services imbriqués, aux bornes, aux NFT et aux stablecoins ; pourquoi les stablecoins sont à la fois un canal majeur de flux illicites et une source d’atténuation grâce aux gels par les émetteurs ; la mesure de l’exposition à l’aide d’étiquettes correspondant à un instant donné ; l’éventail gradué des options d’atténuation et les raisons pour lesquelles le GAFI rejette l’évitement généralisé des risques tout en autorisant les refus documentés.