Ce qu’est la criminalistique des cryptoactifs

Toute enquête sur les cryptoactifs produit des liens et des chiffres, mais seuls certains peuvent faire poids devant un tribunal, dans une demande de gel ou dans une réclamation en insolvabilité. La criminalistique des cryptoactifs est la discipline qui consiste à tirer des conclusions sur les flux, les avoirs et le contrôle des actifs numériques de manière à ce qu’une autre personne qualifiée puisse les vérifier, les reproduire et les contester. Cette leçon présente ce qui distingue un travail criminalistique d’un travail simplement analytique, les types de dossiers auxquels il s’applique et les personnes qui l’effectuent.

Travail analytique et travail criminalistique

Les mêmes données de chaîne de blocs permettent deux types de travail. Le travail analytique répond assez rapidement aux questions pour permettre d’agir : quelle plateforme d’échange a reçu un dépôt, dans quelle mesure un client est exposé à un mélangeur, si un portefeuille est encore actif. Il tolère les hypothèses de travail, utilise l’outil le plus rapide disponible et se juge à son utilité.

Le travail criminalistique répond aux questions selon une norme de preuve. La conclusion s’appuie sur des données sources préservées, est obtenue au moyen d’une méthode énoncée, est consignée de sorte qu’elle puisse être reproduite et est exprimée en précisant ses limites. Elle se juge à sa capacité à résister à l’examen d’un expert adverse et du tribunal.

La plupart des dossiers commencent par un travail analytique et deviennent criminalistiques lorsqu’une décision ayant des conséquences juridiques en dépend. Le piège consiste à reprendre des raccourcis analytiques — comme une étiquette non vérifiée ou une règle de traçage non documentée — dans une déclaration qui sera invoquée comme preuve. Les bonnes équipes traitent chaque dossier comme potentiellement criminalistique dès sa réception, car reconstituer la provenance après coup prend du temps et est parfois impossible.

Reproductible, documenté, défendable

Trois critères distinguent une conclusion criminalistique d’une opinion.

Reproductible. Un autre examinateur, disposant des mêmes sources et de la même méthode, obtient le même résultat. Sur une chaîne de blocs publique, c’est exceptionnellement réalisable : chaque txid, bloc et montant peut être récupéré de nouveau à partir d’un nœud indépendant. En revanche, l’interprétation qui s’y superpose n’est pas automatiquement reproductible : une heuristique de regroupement, une étiquette provenant d’un tiers, une méthode de traçage. La norme ISO/IEC 27037 cite la répétabilité (même méthode, même environnement, même résultat) et la reproductibilité (même méthode, outils ou conditions différents, même résultat), ainsi que l’auditabilité et la justifiabilité, parmi les qualités que devrait présenter le traitement des preuves numériques.

Documenté. Chaque étape est consignée au fur et à mesure : ce qui a été interrogé, à partir de quelle source, avec quelle version de l’outil, à quelle heure en UTC et quel résultat a été obtenu. Si le dossier ne fait pas état d’une étape, la personne qui l’examine doit supposer qu’elle ne s’est pas déroulée comme décrit. La leçon Hachage, journalisation et chaîne de possession présente les aspects pratiques.

Défendable. La méthode est adaptée à la question, ses faiblesses connues sont énoncées, les solutions de rechange ont été envisagées et la conclusion ne va pas au-delà de ce que permettent les preuves. Une conclusion défendable anticipe les questions que posera un expert de la défense (voir la leçon Divulgation et examen par la défense).

Une bonne habitude consiste à distinguer trois niveaux dans chaque déclaration :

• observation : ce que montrent la chaîne ou un dossier;
• inférence : la conclusion que l’examinateur en tire et la méthode employée;
• hypothèse : ce qui est tenu pour acquis, par exemple l’exactitude d’une étiquette.

Ce qu’examine la criminalistique des cryptoactifs

Les techniques sont communes, mais chaque type de dossier a ses points de départ, ses questions et ses aboutissements habituels.

Les affaires publiques illustrent l’éventail des cas. Après l’attaque par rançongiciel de Colonial Pipeline en 2021, les enquêteurs ont suivi la rançon de 75 BTC à travers plusieurs adresses et récupéré environ 63,7 BTC détenus sur l’une d’elles. Dans le piratage de Bitfinex en 2016, les enquêteurs ont suivi pendant plusieurs années environ 119 754 BTC volés et, en 2022, ont récupéré plus de 94 000 BTC après avoir déchiffré un fichier dans un compte de stockage en ligne qui contenait des clés privées. Dans les deux cas, le traçage sur la chaîne ne constituait qu’une partie du dossier : le reste reposait sur les procédures judiciaires, les preuves provenant d’appareils et du cloud, ainsi que la documentation qui rendait les conclusions utilisables.

Rôles dans une enquête sur les cryptoactifs

Les intervenants en réponse aux incidents dans les plateformes d’échange et les protocoles effectuent souvent les premières heures de travail après un vol. Leurs notes et leurs extractions deviennent ensuite des preuves; ils doivent donc respecter la même rigueur. Un expert nommé par le tribunal travaille pour le tribunal, et non pour l’une ou l’autre des parties.

Dans les petites équipes, une même personne peut occuper plusieurs rôles. C’est possible si chaque résultat indique le rôle de son auteur. Le produit de renseignement d’un analyste peut s’appuyer sur des sources sensibles et n’est pas destiné au tribunal; la conclusion d’un examinateur, elle, l’est. Confondre les deux — par exemple en copiant une évaluation de renseignement dans une déclaration à valeur probante — est une raison fréquente pour laquelle des conclusions sont exclues ou se voient accorder peu de poids.

Exemple détaillé : une même question, deux réponses

Une victime signale un paiement de 3,0 ETH à une fausse plateforme d’investissement. Un analyste ouvre un outil de traçage et écrit : « Les fonds sont allés à la plateforme d’échange K. » C’est une piste. La version criminalistique se présente ainsi :

Conclusion F-03

• Observation : le txid 0x9c1e…44ab (bloc 19 204 117, 11/02/2024 08:42:19 UTC) a transféré 3,0 ETH de l’adresse de la victime 0x5D0f…a1C2 à 0xA1b2…9F.
• Observation : 0xA1b2…9F a envoyé 2,98 ETH à 0x77cd…e310 dans le txid 0x41b0…7d2e (bloc 19 204 160). 0x77cd…e310 a ensuite transféré la totalité de son solde à 0xE3f9…08B1.
• Inférence : 0x77cd…e310 est une adresse de dépôt de la plateforme d’échange K. Fondement : le transfert de la totalité des fonds à 0xE3f9…08B1, que deux sources indépendantes identifient comme un portefeuille chaud de la plateforme d’échange K (captures S-07 et S-08).
• Hypothèse : les étiquettes figurant dans S-07 et S-08 sont exactes.
• Niveau de confiance : observations certaines (revérifiées sur un nœud interne, 02/03/2024); attribution probable jusqu’à confirmation par les dossiers de la plateforme d’échange K.

N’importe qui peut revérifier chaque observation à partir de la chaîne. L’inférence indique son fondement et les références aux preuves qui la corroborent. L’hypothèse est énoncée plutôt que dissimulée, et le niveau de confiance indique au lecteur ce qui pourrait modifier la conclusion : les dossiers de la plateforme d’échange. L’évaluation du niveau de confiance est approfondie dans la leçon Traçage selon une norme de preuve.

Comment CF s’articule avec IDFE-BA et IDFE-CC

CF s’appuie sur deux autres cours IDFE et ne les reprend pas. Le regroupement et ses taux d’erreur sont abordés dans les leçons IDFE-BA Heuristique de propriété par entrées communes et Évaluer la qualité des regroupements; les règles d’allocation, comme le FIFO et la décote, sont traitées dans Tracer les fonds vers l’avant et vers l’arrière; la provenance des étiquettes, dans Attribution et étiquetage. La manière dont les plateformes d’échange surveillent les opérations, les signalent et répondent aux autorités est abordée dans les leçons IDFE-CC Obligations de déclaration des transactions suspectes et Gels, demandes des autorités chargées de l’application de la loi et recouvrement des actifs.

CF ajoute la dimension criminalistique : le cycle de vie de l’enquête et le pouvoir légal (ce module), le traçage et l’attribution selon une norme de preuve, les appareils et la récupération de portefeuilles sous autorité légale, l’intégrité des preuves, les rapports et témoignages d’experts, ainsi que la mise en sûreté et la restitution des actifs.

Points clés pour l’examen : la différence entre le travail analytique et le travail criminalistique; la norme de preuve, qui exige que le travail soit reproductible, documenté et défendable; les qualités de la norme ISO/IEC 27037 que sont la répétabilité, la reproductibilité, l’auditabilité et la justifiabilité; la distinction entre observation, inférence et hypothèse dans une conclusion; les types de dossiers examinés et leurs points de départ et aboutissements habituels; les rôles de l’enquêteur, de l’examinateur, de l’analyste, du témoin expert, de l’intervenant en réponse aux incidents et de l’expert nommé par le tribunal; pourquoi les produits de renseignement et les conclusions à valeur probante doivent rester distincts.