Analyse de la blockchain pour la conformité

L'analyse de la blockchain est ce qui distingue la surveillance des cryptoactifs de la surveillance bancaire : l'équipe de conformité peut voir d'où proviennent les fonds d'un client et où ils sont allés, bien au-delà de la contrepartie immédiate. Mais le résultat d'un outil d'analyse est une inférence, et non un fait. Un professionnel de la conformité doit savoir sur quoi repose un score de risque, comment l'exposition est mesurée et où les outils se trompent, car toute décision de bloquer des fonds, de mettre fin à une relation ou d'effectuer une déclaration repose sur ce jugement.

Des adresses aux entités

Les blockchains publiques enregistrent des adresses et des transferts, pas des noms. Les fournisseurs d'analyses transforment ces données en informations exploitables en deux étapes :

• Le regroupement rassemble les adresses supposées être contrôlées par une même entité, au moyen d'heuristiques telles que la propriété commune des entrées pour les blockchains UTXO et la réutilisation des adresses de dépôt pour les blockchains fondées sur des comptes.
• L'attribution associe une étiquette correspondant à une entité du monde réel à un groupe d'adresses, à partir de sources telles que les propres transactions de test du fournisseur auprès de services, les adresses publiées par leurs détenteurs, les recherches en sources ouvertes et les communiqués publics des autorités répressives ou relatifs aux sanctions.

Ces deux étapes produisent des hypothèses assorties de taux d'erreur. Le cours IDFE-CF explique leur fonctionnement et la manière de les tester (voir les leçons Regroupement et heuristique de propriété commune des entrées, De l'adresse à l'entité, puis à la personne : attribution et étiquetage et Évaluation de la qualité des groupes d'adresses). Pour les besoins de la conformité, trois points suffisent : un groupe d'adresses peut fusionner à tort deux entités, une étiquette peut être erronée ou obsolète, et un groupe d'adresses appartenant à un service de conservation indique qui contrôle les clés, et non qui sont les clients du service.

Catégories de risque

Les fournisseurs rattachent les entités étiquetées à des catégories de risque. Les noms varient, mais la plupart des taxonomies comprennent les catégories suivantes, que chaque entreprise doit mettre en correspondance avec sa propre appétence au risque :

La catégorie « Inconnu » mérite une attention particulière. La plupart des adresses dans le monde n'ont pas d'attribution ; considérer les adresses inconnues comme saines masquerait donc l'essentiel du risque, tandis que les considérer comme présentant un risque élevé conduirait à signaler presque tout. Les entreprises ne prennent généralement en compte l'exposition inconnue qu'en combinaison avec d'autres signaux.

Les catégories liées aux sanctions et le traitement des adresses désignées sont abordés dans la leçon Filtrage des portefeuilles et des transactions ; la présente leçon porte sur l'analyse en tant que donnée d'entrée de la surveillance.

Exposition directe et indirecte

L'exposition directe signifie que la contrepartie du transfert lui-même appartient à une catégorie de risque : le dépôt du client provient directement d'un groupe d'adresses associé à un marché du darknet, ou un retrait est envoyé directement à un mixeur. L'exposition indirecte signifie que la source ou la destination à risque se trouve à un ou plusieurs sauts de distance, avec des adresses sans attribution ou d'autres adresses intermédiaires.

L'exposition indirecte doit être mesurée, et le résultat dépend de la méthode de traçage (proportionnelle ou « haircut », premier entré, premier sorti, et d'autres, expliquées dans la leçon IDFE-CF Méthodes de traçage et leurs conséquences) ainsi que de la limite de sauts. Plus le nombre de sauts est élevé, plus la couverture et le bruit augmentent : presque toute unité de cryptomonnaie se trouve à quelques sauts d'une source problématique.

Voici un exemple détaillé. Un client dépose 2,00 BTC depuis une adresse sans attribution. En remontant les flux selon une méthode proportionnelle et avec une limite de cinq sauts, l'outil attribue 1,40 BTC (70 %) à une plateforme d'échange réglementée située un saut en amont, 0,30 BTC (15 %) à un marché du darknet situé deux sauts en amont, et 0,30 BTC (15 %) à des sources sans attribution au-delà de la limite. L'analyste pose alors les questions suivantes :

• Une exposition de 15 % à deux sauts dépasse-t-elle le seuil de l'entreprise pour cette catégorie et ce segment ?
• Les fonds ont-ils transité par un service intermédiaire (une plateforme d'échange ayant interrompu la piste) ou uniquement par des adresses non hébergées ?
• De quand date l'étiquette relative au darknet et quelle est sa source ?

Voici un exemple d'enregistrement qu'un système de surveillance pourrait conserver pour ce dépôt :

{
  "txid": "4f3a…c21e",
  "direction": "IN",
  "asset": "BTC",
  "amount": "2.00000000",
  "customer_id": "C-10482",
  "counterparty": { "cluster_id": "cl-88…1d", "entity": null, "category": "unknown" },
  "exposure": [
    { "category": "exchange", "type": "indirect", "hops": 1, "share": 0.70 },
    { "category": "darknet_market", "type": "indirect", "hops": 2, "share": 0.15,
      "label_source": "public law-enforcement release", "label_date": "2025-11-03" },
    { "category": "unknown", "type": "beyond_limit", "share": 0.15 }
  ],
  "method": { "tracing": "proportional", "max_hops": 5 },
  "dataset_version": "2026-10-20",
  "risk_score": 62
}

L'enregistrement conserve les données d'entrée qui sous-tendent le score, et pas seulement le score lui-même : chaque ligne d'exposition contient sa catégorie, son type, sa distance en sauts et sa proportion, et l'étiquette de risque conserve sa source et sa date. Il stocke également la méthode de traçage, la limite de sauts et la version du jeu de données, afin qu'une personne chargée du contrôle puisse ultérieurement reconstituer les raisons du déclenchement de l'alerte, même après la mise à jour des étiquettes par le fournisseur.

Pourcentages d'exposition des contreparties

La même technique appliquée à l'ensemble d'un groupe d'adresses fournit un profil d'exposition de la contrepartie : la part de l'ensemble des fonds reçus (ou envoyés) par une contrepartie qui provient de chaque catégorie de risque. Ce profil est utilisé dans deux contextes :

• Vigilance à l'égard des contreparties VASP. Si 4 % des fonds reçus par une plateforme d'échange étrangère au cours de l'année écoulée remontent directement à des escroqueries et à des mixeurs, contre bien moins de 1 % pour des plateformes d'échange comparables, cela constitue un élément d'appréciation de ses contrôles (voir la leçon Identification et vérification de la contrepartie).
• Détection des services imbriqués. Un « client » dont les dépôts présentent le profil de flux entrants d'une petite plateforme d'échange (nombreux expéditeurs sans lien entre eux, petits montants fréquents, transferts de regroupement vers d'autres adresses) peut exploiter un service par l'intermédiaire de son compte auprès de l'entreprise.

Les pourcentages doivent être contextualisés. Une grande plateforme d'échange présentera toujours certains flux entrants illicites en valeur absolue ; les comparaisons utiles se font avec ses pairs, avec l'historique de la contrepartie elle-même, et dans le sens pertinent (l'exposition à la réception montre ce qu'un service accepte ; l'exposition à l'envoi montre où va l'argent de ses clients).

Limites

Les résultats d'analyse présentent des défaillances connues, et un programme doit être conçu pour en tenir compte plutôt que pour les ignorer.

Les cryptomonnaies axées sur la confidentialité, les mixeurs et les échanges interchaînes dégradent également le traçage. Leur présence constitue en elle-même un signal de risque selon les indicateurs d'alerte du GAFI (voir la leçon Signaux d'alerte et typologies), mais elle signifie aussi que les chiffres d'exposition sont moins complets.

Validation des résultats d'analyse

Puisque c'est l'entreprise, et non son fournisseur, qui est responsable de ses décisions, elle doit tester ce qu'elle achète et consigner les éléments sur lesquels elle s'est fondée.

1. Connaissez la méthode. Obtenez une documentation sur l'approche de regroupement du fournisseur, les sources des étiquettes, leur niveau de fiabilité, la méthode de traçage et la fréquence des mises à jour.
2. Testez sur des cas connus. Soumettez à l'analyse les propres adresses de dépôt et de retrait de l'entreprise, les adresses des contreparties VASP confirmées par les échanges d'informations au titre de la Travel Rule, ainsi que les adresses figurant dans les communiqués publics des autorités répressives, et vérifiez leur classification.
3. Examinez manuellement un échantillon d'alertes. Pour un échantillon d'alertes, un analyste retrace les flux de manière indépendante et vérifie si l'exposition annoncée est plausible.
4. Comparez les sources. Lorsqu'un second fournisseur ou un jeu de données interne est disponible, mesurez les divergences sur un échantillon et examinez les écarts importants.
5. Consignez les versions. Conservez la version du jeu de données, la méthode et les dates des étiquettes avec chaque décision, afin de pouvoir l'expliquer ultérieurement.
6. Faites remonter les erreurs. Signalez au fournisseur les étiquettes erronées découvertes pendant les enquêtes et vérifiez si elles sont corrigées.

Les résultats de validation doivent être intégrés à la gouvernance des modèles (voir la leçon Ajustement, indicateurs et gouvernance des modèles) et aux critères de sélection abordés dans la leçon La pile technologique de conformité.

Points clés pour l'examen : le regroupement et l'attribution en tant qu'hypothèses, et les groupes d'adresses de conservation représentant le service plutôt que ses clients ; les catégories de risque courantes et les raisons pour lesquelles « inconnu » ne signifie pas risque faible ; l'exposition directe par opposition à l'exposition indirecte et la façon dont les limites de sauts et les méthodes de traçage modifient le résultat ; le calcul d'une proportion d'exposition à partir d'un exemple de traçage détaillé ; les profils d'exposition des contreparties pour la vigilance à l'égard des VASP et la détection des services imbriqués ; les principales limites (attribution erronée et manquante, étiquettes obsolètes, désaccord entre fournisseurs, lacunes de couverture) ; les étapes de validation et la consignation de la méthode et de la version du jeu de données avec chaque décision.