Risques technologiques propres aux cryptomonnaies

Les cryptomonnaies ajoutent une catégorie de risque à laquelle les programmes traditionnels de LBC avaient rarement à penser : la technologie elle-même. Qu’une entreprise prenne en charge une cryptomonnaie à confidentialité renforcée, accepte des dépôts provenant d’un pont ou permette à ses clients de retirer des fonds vers n’importe quelle adresse modifie son exposition autant que l’identité de ses clients. Le responsable de la conformité doit comprendre suffisamment chaque fonctionnalité pour l’évaluer, la contrôler et expliquer au conseil d’administration pourquoi l’entreprise l’accepte, la limite ou la refuse.

La technologie comme catégorie de risque

La Recommandation 15 exige que les entreprises évaluent les risques des nouveaux produits, pratiques commerciales, mécanismes de prestation et technologies avant leur lancement. Les orientations actualisées du GAFI de 2021 sur les actifs virtuels traitent des fonctionnalités qui renforcent l’anonymat ou obscurcissent les flux. Dans l’évaluation des risques à l’échelle de l’entreprise (voir la leçon L’approche fondée sur les risques), la catégorie des technologies pose trois questions pour chaque fonctionnalité :

1. La piste est-elle rompue ? La valeur peut-elle circuler sans lien visible entre la source et la destination ?
2. L’intermédiaire est-il supprimé ? La valeur peut-elle circuler sans qu’aucune entité assujettie applique des mesures de vigilance à l’égard de la clientèle (CDD) ?
3. Pouvons-nous la voir ? Nos outils de filtrage et d’analyse couvrent-ils la chaîne, le jeton ou le protocole ?

Une réponse « oui, oui, non » correspond au profil d’une fonctionnalité à haut risque.

Cryptomonnaies à confidentialité renforcée, mélangeurs et CoinJoin

Les cryptomonnaies à confidentialité renforcée, que le GAFI appelle des cryptomonnaies à anonymat renforcé, masquent par conception les expéditeurs, les destinataires ou les montants, par exemple au moyen de signatures en anneau, d’adresses furtives ou de preuves à divulgation nulle de connaissance. Certaines offrent une confidentialité facultative, auquel cas les transactions transparentes restent traçables. Pour un PSAV, le problème est concret : une fois que les fonds entrent dans un pool protégé, les outils d’analyse ne peuvent plus montrer d’où proviennent les dépôts.

Les mélangeurs mettent en commun les fonds de nombreux utilisateurs et les versent sur de nouvelles adresses. Les mélangeurs centralisés prennent les fonds en dépôt ; les mélangeurs fondés sur des contrats intelligents, comme Tornado Cash, fonctionnent sans opérateur détenant les fonds. CoinJoin combine les entrées de plusieurs utilisateurs en une seule transaction dont les sorties sont de valeur égale. Le mélange a des usages légitimes en matière de confidentialité, mais les mélangeurs ont aussi joué un rôle central dans le blanchiment des produits de rançongiciels et de vols liés à la RPDC. En outre, les indicateurs de signaux d’alerte du GAFI (septembre 2020) répertorient les fonds provenant directement de services de mélange. La manière dont le mélange apparaît sur la chaîne est abordée dans la leçon IDFE-BA Mélangeurs, CoinJoin et obfuscation dans les graphes ; les sanctions visant les contrats intelligents sont abordées dans la leçon Filtrage des portefeuilles et des transactions.

Ponts, passage d’une chaîne à l’autre, DeFi et plateformes d’échange décentralisées

Les ponts transfèrent de la valeur entre chaînes en verrouillant ou en brûlant les actifs sur une chaîne, puis en les débloquant ou en les créant sur une autre. Le passage d’une chaîne à l’autre consiste à utiliser des ponts et des échanges pour transférer rapidement de la valeur entre plusieurs chaînes, de sorte que chaque vue d’analyse ne montre qu’un fragment. Après le vol d’environ 620 millions USD du pont Ronin en 2022 et le vol de Bybit en 2025, tous deux attribués à des acteurs liés à la RPDC, les actifs volés ont circulé sur plusieurs chaînes en quelques jours. Les ponts sont également eux-mêmes des cibles de piratage.

Les protocoles de DeFi et les plateformes d’échange décentralisées (DEX) permettent aux utilisateurs d’échanger, de prêter et d’emprunter sans dépositaire. Pour un PSAV, le risque est indirect : les fonds provenant d’un routeur DEX ou d’un pool de prêt ne contiennent aucune information sur leur fournisseur, et le protocole n’applique aucune CDD. Vos contrôles reposent sur l’analyse de l’exposition sur la chaîne, la couverture des chaînes concernées et les méthodes de traçage interchaînes décrites dans la leçon IDFE-BA Traçage interchaînes.

Portefeuilles non hébergés, P2P et OTC

Les portefeuilles non hébergés sont contrôlés par l’utilisateur, sans intermédiaire. La plupart des transferts vers ces portefeuilles et à partir de ceux-ci sont légitimes, mais les transferts P2P entre portefeuilles non hébergés ont lieu entièrement en dehors du périmètre des entités assujetties, une lacune que les mises à jour ciblées du GAFI ont soulignée à plusieurs reprises. Les contrôles des PSAV se concentrent sur le point de contact : collecte des informations sur la contrepartie, preuve de la propriété de l’adresse lorsque le risque le justifie et surveillance de l’exposition (voir la leçon Portefeuilles non hébergés et transferts auto-hébergés).

Les plateformes P2P et les courtiers OTC présentent un risque connexe : un client qui effectue des transactions à grande échelle pour le compte d’autrui peut exploiter, par l’intermédiaire de votre compte, une plateforme d’échange non enregistrée, appelée service imbriqué. Les bureaux OTC qui règlent des transactions importantes en espèces ou par l’intermédiaire de tiers constituent un moyen classique de convertir des monnaies fiduciaires d’origine criminelle en cryptomonnaies, et inversement.

Guichets, NFT et stablecoins à grande échelle

Les guichets automatiques et bornes de cryptomonnaies combinent les espèces et la livraison instantanée de cryptomonnaies. Parmi les risques récurrents figurent les victimes d’escroqueries incitées à déposer des espèces, les mules financières qui alimentent de nombreuses petites transactions et les contrôles d’identité insuffisants pour les petits montants. Les opérateurs réduisent ces risques au moyen de limites de transaction, de la vérification d’identité, d’avertissements à l’écran, de la surveillance des utilisations répétées sur plusieurs bornes et du filtrage des adresses de destination.

Les NFT ne relèvent généralement pas de la définition d’actif virtuel lorsqu’ils sont utilisés comme objets de collection (voir la leçon Le PSAV en tant qu’entité assujettie), mais les places de marché sont confrontées au wash trading, à la manipulation des prix et à des ventes de grande valeur entre portefeuilles liés, qui peuvent servir à dissimuler des transferts de valeur.

Les stablecoins constituent désormais le principal actif de règlement pour de nombreux flux légitimes et illicites. Le rapport ciblé du GAFI sur les stablecoins et les portefeuilles non hébergés (mars 2026) s’appuyait sur des données du secteur montrant qu’ils sont devenus la catégorie d’actifs la plus utilisée dans les flux illicites d’actifs virtuels, un changement qui s’explique par la stabilité de leur prix, leur liquidité et leur présence sur plusieurs chaînes. Pour l’évaluation des risques, cela signifie que l’exposition aux stablecoins, par jeton et par chaîne, constitue à elle seule un facteur majeur. Les stablecoins offrent également une mesure d’atténuation dont la plupart des actifs sont dépourvus : de nombreux émetteurs peuvent geler des adresses, et le même rapport citait comme bonne pratique le fait d’exiger des émetteurs qu’ils puissent geler, brûler ou retirer des jetons sur le marché secondaire. Une équipe de conformité doit savoir quels stablecoins elle prend en charge, sur quelles chaînes, et si leurs émetteurs procèdent effectivement à des gels.

Intégration de chaque fonctionnalité à l’évaluation des risques

Les évaluations doivent reposer sur vos propres données, et non sur un tableau générique. La requête ci-dessous mesure la part du volume entrant mensuel provenant directement de chaque catégorie d’analyse, ce qui fournit une base factuelle à l’EWRA et permet au conseil d’administration de voir les tendances.

-- Volume entrant mensuel par catégorie d’exposition directe (schéma fictif)
SELECT DATE_TRUNC('month', d.block_time)          AS month,
       COALESCE(e.category, 'unlabeled')          AS category,  -- mélangeur, pont, DEX...
       COUNT(*)                                   AS deposits,
       SUM(d.amount_usd)                          AS volume_usd,
       SUM(d.amount_usd) * 1.0 / SUM(SUM(d.amount_usd))
         OVER (PARTITION BY DATE_TRUNC('month', d.block_time)) AS share_of_month
FROM deposits d
LEFT JOIN address_exposure e
  ON  e.address = d.source_address
  AND e.exposure_type = 'direct'
  AND e.snapshot_date = d.screened_on          -- libellé connu au moment du filtrage
GROUP BY DATE_TRUNC('month', d.block_time), COALESCE(e.category, 'unlabeled')
ORDER BY month, volume_usd DESC;

La requête associe chaque dépôt au libellé analytique qui s’appliquait à son adresse source le jour de son filtrage, de sorte que les chiffres reflètent ce que l’entreprise savait à ce moment-là. Une jointure externe gauche conserve les dépôts sans libellé dans le total, ce qui évite de gonfler les parts, et la fonction de fenêtre divise le volume de chaque catégorie par le total mensuel. Les fonctions de date varient selon les moteurs (certains utilisent DATETRUNC ou DATE_FORMAT). L’exposition indirecte et les limites des libellés sont abordées dans la leçon Analyse de la chaîne de blocs aux fins de conformité.

Atténuation des risques ou réduction globale des risques

Face à une fonctionnalité risquée, une entreprise dispose de plusieurs options : l’accepter avec une surveillance, appliquer des limites ou une vigilance renforcée, restreindre la fonctionnalité (par exemple, autoriser les dépôts, mais pas les retraits vers certains protocoles), ou la refuser entièrement. L’approche fondée sur les risques (RBA) veut que le choix découle de l’évaluation et soit fait au cas par cas.

Le GAFI a mis en garde à plusieurs reprises contre la réduction globale des risques, qui consiste à interrompre les relations avec des catégories entières de clients ou d’activités pour éviter les risques au lieu de les gérer. Dans sa déclaration d’octobre 2014, il indiquait que la RBA implique des décisions au cas par cas, et non une réduction globale des risques. Son bilan d’octobre 2021 sur les conséquences involontaires des normes concluait que la réduction des risques déplace les activités vers des canaux moins transparents et nuit à l’inclusion financière. Les amendements de février 2025 à la Note interprétative de la R.1 demandent aux autorités de surveillance de surveiller les situations de conformité excessive fondées sur une compréhension partielle des risques.

Refuser une fonctionnalité reste légitime lorsque l’entreprise ne peut réellement pas la contrôler, par exemple s’il s’agit d’une cryptomonnaie à confidentialité renforcée dont les transactions ne peuvent pas être filtrées par ses outils. Le critère est de savoir si la décision est documentée, fondée sur l’évaluation propre à l’entreprise et réexaminée lorsque les outils ou les faits évoluent. « Nous avons bloqué tous les transferts vers des portefeuilles non hébergés parce que c’était plus facile » ne satisfait pas à ce critère ; « nous n’inscrivons pas l’actif Z parce qu’aucune couverture de filtrage n’existe, et nous réexaminons cette décision chaque trimestre » y satisfait.

Points clés pour l’examen : l’obligation prévue par la R.15 d’évaluer les nouvelles technologies avant leur lancement ; les trois questions (piste rompue, intermédiaire supprimé, visibilité) pour évaluer une fonctionnalité ; les risques liés aux cryptomonnaies à confidentialité renforcée, aux mélangeurs et à CoinJoin, aux ponts et au passage d’une chaîne à l’autre, à la DeFi et aux DEX, aux portefeuilles non hébergés et au P2P, aux opérations OTC et aux services imbriqués, aux bornes, aux NFT et aux stablecoins ; pourquoi les stablecoins constituent à la fois un important canal illicite et une source d’atténuation grâce aux gels effectués par les émetteurs ; la mesure de l’exposition à l’aide de libellés horodatés ; les options d’atténuation et les raisons pour lesquelles le GAFI rejette la réduction globale des risques tout en autorisant les refus documentés.