Risques de sanctions propres aux cryptoactifs

Les cryptoactifs modifient la manière dont naît l’exposition aux sanctions. Une partie désignée peut ouvrir un portefeuille en quelques secondes, transférer de la valeur au-delà des frontières sans passer par une banque et se dissimuler derrière des services qui regroupent les fonds de nombreux utilisateurs. Dans le même temps, chaque transfert laisse une trace publique permanente qu’une équipe de conformité bien équipée peut suivre. Cette leçon présente les risques de sanctions propres aux cryptoactifs, afin que les contrôles de filtrage abordés dans les leçons suivantes visent les bonnes cibles.

Les adresses désignées et leurs limites

Depuis 2018, certains régimes autonomes incluent des adresses d’actifs virtuels dans les inscriptions de désignation, en tant qu’identifiants d’une personne ou d’une entité désignée, au même titre qu’un numéro de passeport. Un transfert vers ou depuis une telle adresse constitue une opération directe avec la partie désignée.

Les inscriptions d’adresses sont utiles, mais leur portée est limitée :

• Couverture. La Liste récapitulative de l’ONU ne comporte aucun champ dédié aux adresses d’actifs virtuels ; les désignations de l’ONU concernent donc généralement les cryptoactifs par l’intermédiaire de noms et d’entités, et non d’adresses. Les listes autonomes ne publient des adresses que pour certaines désignations.
• Abondance. Une partie désignée peut générer de nouvelles adresses sans frais. Une adresse inscrite indique où la partie se trouvait, et non tous les endroits où elle se trouve.
• Format. Les listes peuvent publier des adresses dont l’indication de chaîne ou de jeton est absente, ambiguë ou erronée, et une même chaîne de caractères peut être valide sur plusieurs chaînes compatibles avec l’EVM.
• Des points de départ, pas des limites. Il convient de traiter les adresses inscrites comme des points de départ. L’analyse de la blockchain permet de les étendre à des groupes d’adresses susceptibles d’être contrôlées par la même partie (voir les leçons IDFE-CF sur le regroupement d’adresses), puis le filtrage couvre l’ensemble du groupe.

En pratique, une entreprise qui effectue un filtrage uniquement à partir des adresses publiées passera à côté de la plupart des expositions aux sanctions. Les adresses constituent une donnée d’entrée parmi d’autres : les noms, les entités, la géographie et les comportements en sont d’autres.

Services sanctionnés

Les régimes autonomes ont désigné non seulement des personnes, mais aussi des services liés aux cryptoactifs : des plateformes d’échange accusées de traiter des produits de rançongiciels et du darknet, des mélangeurs utilisés pour blanchir les produits de vols liés à des États et, dans un cas, un ensemble de contrats intelligents : en 2022, les États-Unis ont désigné le mélangeur Tornado Cash en inscrivant les adresses de ses contrats (voir la leçon Filtrage des portefeuilles et des transactions). Lorsqu’un service est désigné, chaque adresse de dépôt et chaque portefeuille à chaud qui lui sont attribués deviennent une source d’exposition aux sanctions pour les contreparties.

Deux schémas se répètent. Premièrement, une plateforme d’échange désignée poursuit souvent ses activités, parfois sous un nouveau nom ou par l’intermédiaire d’une entité qui lui succède et reprend ses clients et sa liquidité. Deuxièmement, les clients d’un service désigné peuvent migrer vers d’autres plateformes, en emportant des fonds présentant une exposition directe ou indirecte. Ces deux schémas impliquent que les mises à jour des listes doivent être suivies de mises à jour des analyses, et que les mesures de vigilance à l’égard du prestataire de services d’actifs virtuels (VASP) de contrepartie (voir la leçon Identifier et vérifier la contrepartie) doivent porter sur les liens avec les sanctions, et pas seulement sur la préparation à la Travel Rule.

Vols liés à un État : le cas de la RPDC

Le principal risque de sanctions lié à un État dans le domaine des cryptoactifs est le vol commis par des acteurs liés à la République populaire démocratique de Corée, généralement désignés sous le nom de Lazarus Group. La RPDC fait l’objet de sanctions du Conseil de sécurité de l’ONU au titre de la résolution 1718 (2006) et de résolutions ultérieures, qui visent à tarir le financement de ses programmes d’armement.

Le Groupe d’experts qui appuyait le Comité 1718 a documenté cette activité pendant des années. Son rapport publié en mars 2024 indiquait qu’il enquêtait sur 58 cyberattaques présumées contre des entreprises liées aux cryptoactifs entre 2017 et 2023, pour un montant d’environ 3 milliards USD, et signalait que les cybervols généraient jusqu’à la moitié des revenus en devises de la RPDC. Le mandat du Groupe a pris fin le 30 avril 2024 après qu’un projet de résolution visant à le renouveler a fait l’objet d’un veto en mars 2024. Un groupe de 11 États a ensuite mis en place une équipe de surveillance en dehors du cadre de l’ONU, qui continue de rendre compte des cybervols de la RPDC. Le vol d’environ 1,46 milliard USD sur la plateforme d’échange Bybit en février 2025 a été attribué à des acteurs de la RPDC.

Le schéma de blanchiment décrit dans les rapports publics est constant : échanges rapides de jetons volés sur des plateformes d’échange décentralisées, recours à des mélangeurs et à des ponts interchaînes, conversion en bitcoins ou en stablecoins, puis conversion en monnaie fiduciaire par l’intermédiaire de courtiers de gré à gré (OTC) et de comptes sur des plateformes d’échange situées dans des juridictions permissives. Le Groupe d’experts et des rapports publics ultérieurs ont également décrit des travailleurs informatiques de la RPDC à l’étranger utilisant de fausses identités ou des identités empruntées pour obtenir des emplois à distance et des contrats de travail indépendant, souvent rémunérés en stablecoins. Pour un VASP, cela crée une seconde exposition : l’entrée en relation avec un client qui agit en réalité pour le compte d’un État désigné.

Rançongiciels et cybercriminels désignés

Certains régimes autonomes désignent les opérateurs de rançongiciels, les personnes qui se trouvent derrière eux et les services qui blanchissent leurs produits. Cela concerne les VASP de deux manières. Une victime qui achète des cryptoactifs sur une plateforme d’échange pour payer une rançon peut les envoyer à une adresse contrôlée par une partie désignée, ce qui peut faire du paiement une violation des sanctions et engager la responsabilité de toute entreprise qui le facilite. Par ailleurs, les produits des rançons arrivent ensuite sur les plateformes d’échange sous forme de dépôts présentant une exposition directe ou indirecte. Les entreprises qui fournissent des services à des sociétés de réponse aux incidents ou à des victimes doivent disposer d’une procédure pour les transferts liés aux rançons : filtrage de la destination, transmission au responsable des sanctions et prise de contact avec l’autorité compétente avant tout envoi.

Typologies de contournement

Ces typologies se combinent. Un même cas peut impliquer un mélangeur, un pont, un courtier OTC et un compte imbriqué, chaque étape réduisant la probabilité qu’un simple contrôle sur liste le détecte. Les leçons Signaux d’alerte et typologies et Analyse de la blockchain pour la conformité traitent du volet surveillance.

Géographie : contrôles des adresses IP et de la localisation

Certaines sanctions sont territoriales : elles interdisent les opérations avec des personnes situées dans un pays ou une région, ou y résidant habituellement. Pour une entreprise en ligne sans agence, la seule façon de les appliquer consiste à déduire où se trouve un client. Les signaux utiles comprennent :

• le pays du document d’identité et l’adresse de résidence déclarée ;
• l’adresse IP lors de l’entrée en relation, de la connexion et du retrait, avec des indicateurs pour les VPN, les nœuds de sortie Tor et les fournisseurs d’hébergement ;
• l’indicatif du numéro de téléphone et le pays des comptes bancaires ou des cartes associés ;
• les paramètres de l’appareil, tels que le fuseau horaire et la langue, utilisés comme éléments corroborants plutôt que comme preuves.

Un bon contrôle combine ces signaux. Bloquer dès l’accès les adresses IP provenant de territoires sanctionnés constitue le minimum ; vérifier les données IP des comptes existants et agir en cas d’incohérence est ce qui distingue un programme efficace d’un dispositif de façade. Un client qui a franchi l’étape de l’entrée en relation avec un document provenant d’un pays autorisé, mais qui se connecte mois après mois depuis un territoire sanctionné, constitue une alerte en matière de sanctions, et non une simple curiosité.

Les signaux peuvent parfois se contredire, et la procédure doit préciser la marche à suivre dans ce cas. Une connexion unique depuis un territoire sanctionné par un client de longue date présentant un historique cohérent peut justifier une demande d’explication, par exemple un justificatif de voyage. Des connexions répétées, un schéma d’utilisation de VPN débutant juste après l’entrée en relation ou le remplacement du numéro de téléphone par un numéro portant l’indicatif de ce pays justifient de restreindre le compte jusqu’à ce que la localisation du client soit établie, puis de mettre fin à la relation si elle ne peut pas l’être. Chaque décision, y compris les éléments fournis par le client, doit figurer dans le dossier. La leçon Mettre en œuvre un programme de conformité aux sanctions montre comment des mesures publiques de sanction ont puni des entreprises qui avaient recueilli ces données sans en tenir compte.

Points clés pour l’examen : pourquoi les adresses inscrites sont des points de départ, et non des limites, et pourquoi un filtrage portant uniquement sur les adresses passe à côté de la plupart des expositions ; le fait que la Liste récapitulative de l’ONU ne comporte aucun champ dédié aux adresses d’actifs virtuels et que les désignations de l’ONU concernent les cryptoactifs par l’intermédiaire de noms et d’entités ; les services désignés et les entités qui leur succèdent ; le schéma de vol et de blanchiment de la RPDC et le rôle du Groupe d’experts (les chiffres constituent des éléments de contexte datés) ; les travailleurs informatiques de la RPDC comme risque lors de l’entrée en relation ; les paiements de rançons comme risque de sanctions ; les principales typologies de contournement et leurs signaux ; la combinaison des signaux liés aux adresses IP, aux documents, au téléphone et aux appareils pour les sanctions territoriales, ainsi que l’exploitation des données IP des clients existants.