Ce qu’est l’investigation forensique des cryptoactifs

Toute investigation sur les cryptoactifs produit des liens et des chiffres, mais seuls certains peuvent avoir une valeur probante devant un tribunal, dans une demande de gel ou dans une créance déclarée dans une procédure d’insolvabilité. L’investigation forensique des cryptoactifs est la discipline qui consiste à établir des constatations sur les flux, les avoirs et le contrôle d’actifs numériques de telle sorte qu’une autre personne qualifiée puisse les vérifier, les reproduire et les contester. Chaque constatation repose sur des données que quelqu’un a récupérées, décodées et interprétées ; un examinateur qui ne peut pas préciser quel nœud a produit les données, quel logiciel les a décodées et de qui proviennent les étiquettes appliquées ne peut pas défendre sa constatation. Cette leçon présente ce qui confère à un travail son caractère forensique, les affaires auxquelles il s’applique, les personnes qui l’effectuent et l’apport de chaque couche de données de la blockchain.

Travail analytique et travail forensique

Les mêmes données de blockchain permettent deux types de travail. Le travail analytique répond aux questions assez rapidement pour permettre d’agir : quelle plateforme d’échange a reçu un dépôt, dans quelle mesure un client est exposé à un mixeur, si un portefeuille est toujours actif. Il tolère les hypothèses de travail, utilise l’outil le plus rapide et s’évalue selon son utilité. Le travail forensique répond aux questions selon un niveau d’exigence probatoire : la constatation repose sur des données sources conservées, résulte d’une méthode explicitée, est consignée de manière à pouvoir être reproduite et est formulée avec ses limites. Il s’évalue selon sa capacité à résister à l’examen critique d’un expert de la partie adverse et du tribunal.

La plupart des affaires commencent par un travail analytique et deviennent forensiques lorsqu’une décision ayant des conséquences juridiques en dépend. Le piège consiste à intégrer dans les éléments de preuve des raccourcis analytiques, tels qu’une étiquette non vérifiée ou une règle de traçage non documentée. Les services rigoureux traitent chaque affaire comme potentiellement forensique dès sa prise en charge, car reconstituer la provenance après coup est lent et parfois impossible.

Reproductible, documenté, défendable

Trois critères distinguent une constatation forensique d’une opinion.

Reproductible. Un autre examinateur, disposant des mêmes sources et de la même méthode, obtient le même résultat. Sur une blockchain publique, cela est particulièrement réalisable : chaque txid, bloc et montant peut être récupéré à nouveau auprès d’un nœud indépendant. Ce qui n’est pas automatiquement reproductible, c’est l’interprétation qui s’y ajoute : une heuristique de regroupement, une étiquette tierce, une méthode de traçage. La norme ISO/IEC 27037 cite la répétabilité (même méthode, même environnement, même résultat) et la reproductibilité (même méthode, outils ou conditions différents, même résultat), aux côtés de l’auditabilité et de la justifiabilité, parmi les qualités que doit présenter le traitement des preuves numériques.

Documenté. Chaque étape est consignée au moment où elle se déroule : ce qui a été interrogé, auprès de quelle source, avec quelle version d’outil, à quelle heure en UTC et quel résultat a été obtenu. Si la documentation ne fait pas apparaître une étape, une personne chargée de la révision doit supposer qu’elle ne s’est pas déroulée comme décrit. La leçon 8.3 en présente les modalités pratiques.

Défendable. La méthode est adaptée à la question, ses faiblesses connues sont indiquées, d’autres possibilités ont été envisagées et la conclusion ne va pas au-delà des éléments de preuve. Une constatation défendable anticipe les questions qu’un expert de la défense posera (leçon 8.4).

Une bonne habitude consiste à distinguer trois niveaux dans chaque énoncé :

• observation : ce que montre la chaîne ou un document ;
• inférence : ce que l’examinateur en conclut, et selon quelle méthode ;
• hypothèse : ce qui est tenu pour acquis, comme l’exactitude d’une étiquette.

Ce qu’examine l’investigation forensique des cryptoactifs

Les techniques sont communes, mais chaque type d’affaire présente des points de départ (points d’amorce), des questions et des aboutissements typiques.

Des affaires publiques illustrent cette diversité. Après l’attaque par rançongiciel contre Colonial Pipeline en 2021, les enquêteurs ont retracé la rançon de 75 BTC et récupéré environ 63,7 BTC détenus à une adresse. Dans l’affaire du piratage de Bitfinex en 2016, les enquêteurs ont suivi environ 119 754 BTC volés sur plusieurs années et ont récupéré en 2022 plus de 94 000 BTC après avoir déchiffré un fichier contenant des clés privées dans un compte de stockage en ligne. Dans les deux cas, le traçage ne constituait qu’une partie du dossier : le reste reposait sur les procédures juridiques, les preuves issues des appareils et du cloud, ainsi que sur la documentation qui rendait les constatations exploitables.

Les rôles dans une investigation sur les cryptoactifs

Les intervenants en réponse aux incidents au sein des plateformes d’échange et des protocoles effectuent souvent les premières heures de travail après un vol. Leurs notes et leurs exports deviennent ensuite des éléments de preuve ; ils doivent donc appliquer la même rigueur. Un expert désigné par le tribunal travaille pour le tribunal plutôt que pour l’une ou l’autre des parties.

Dans les petites unités, une même personne peut cumuler plusieurs rôles, ce qui est possible si chaque livrable précise à quel titre il a été produit. Un produit de renseignement peut reposer sur des sources sensibles et n’est pas rédigé pour le tribunal ; le copier dans une déclaration à valeur probatoire est une raison fréquente pour laquelle des constatations sont écartées ou se voient accorder une faible valeur probante.

D’où proviennent les données de la blockchain

Les données de la blockchain se présentent en trois couches, chacune reposant sur la précédente.

Les données brutes du nœud constituent la vérité de référence : chaque nœud complet honnête sur la même chaîne renvoie les mêmes octets pour la même empreinte de bloc. La fiabilité des données décodées dépend de celle du décodeur, qui doit connaître le type de script ou l’interface du contrat (son ABI). Les données enrichies ajoutent une appréciation : prix issus d’un marché choisi, étiquettes provenant d’une source choisie, groupes constitués à partir d’heuristiques choisies. Plus la couche est élevée, plus les données sont utiles et plus elles reposent sur des hypothèses.

Nœuds, fournisseurs, explorateurs et entrepôts de données

Les réponses qu’un nœud complet peut fournir dépendent de ce qu’il conserve. Bitcoin Core nécessite l’index de transactions facultatif (txindex=1) pour rechercher toute transaction confirmée par son txid et ne dispose d’aucun index d’adresses ; les historiques d’adresses nécessitent donc un indexeur distinct (parmi les exemples open source figurent Electrs, Fulcrum et Esplora). Un nœud complet Ethereum configuré par défaut ne conserve l’état (soldes, stockage des contrats) que pour les blocs récents, soit environ les 128 derniers avec le stockage fondé sur les chemins utilisé par défaut par Geth ; les soldes historiques et la plupart des opérations de traçage d’anciennes transactions nécessitent un nœud d’archive. Depuis juillet 2025, les principaux clients d’exécution Ethereum prennent également en charge l’expiration partielle de l’historique dans le cadre d’EIP-4444, permettant à un nœud de supprimer les corps de blocs et les reçus antérieurs au Merge (avant septembre 2022), tout en conservant tous les en-têtes. La leçon 2.1 présente les API des nœuds.

Les fournisseurs RPC exploitent des nœuds pour vous, et vous héritez de leur configuration, de leurs limites de débit et de leurs erreurs. Un explorateur de blocs convient à un premier examen, mais il ne faut pas s’y fier seul : ses méthodes sont rarement documentées, ses étiquettes sont appliquées rétroactivement à d’anciennes transactions et les explorateurs divergent sur les valeurs dérivées, telles que les transactions internes et les soldes de jetons. Un entrepôt de données (une base de données en colonnes contenant les données indexées de la chaîne) répond aux questions portant sur de nombreuses transactions, mais sa qualité dépend de l’ETL qui l’a alimenté. Un processus rigoureux utilise un explorateur pour s’orienter, un entrepôt de données pour travailler à grande échelle et un nœud pour vérifier les transactions précises sur lesquelles repose une constatation (leçon 2.7).

Exemple détaillé : un paiement, deux types de réponse

Une victime signale un paiement de 3,0 ETH à une fausse plateforme d’investissement. Un analyste ouvre un outil de traçage et écrit : « Les fonds sont allés à la plateforme d’échange K. » Il s’agit d’une piste. La version forensique est la suivante :

Constatation F-03

• Observation : le txid 0x9c1e…44ab (bloc 19 204 124, 2024-02-11 10:06:59 UTC) a transféré 3,0 ETH de l’adresse de la victime 0x5D0f…a1C2 vers 0xA1b2…9F.
• Observation : 0xA1b2…9F a envoyé 2,98 ETH à 0x77cd…e310 dans le txid 0x41b0…7d2e (bloc 19 204 160). 0x77cd…e310 a ensuite transféré l’intégralité de son solde vers 0xE3f9…08B1.
• Inférence : 0x77cd…e310 est une adresse de dépôt de la plateforme d’échange K. Fondement : le transfert de l’intégralité du solde vers 0xE3f9…08B1, que deux sources indépendantes étiquettent comme un portefeuille chaud de la plateforme d’échange K (instantanés S-07 et S-08).
• Hypothèse : les étiquettes figurant dans S-07 et S-08 sont exactes.
• Niveau de fiabilité : observations A, enregistrées sur la chaîne (vérifiées à nouveau sur un nœud propre, 2024-03-02) ; attribution de l’adresse de dépôt C, un seul indicateur (le transfert de l’intégralité du solde) reposant sur des étiquettes tierces, passant à B si les registres de la plateforme d’échange K la confirment.

N’importe qui peut vérifier à nouveau les observations à partir de la chaîne. L’inférence précise son fondement, l’hypothèse est explicitée plutôt que dissimulée et la ligne consacrée au niveau de fiabilité indique ce qui modifierait la conclusion : les registres de la plateforme d’échange (la leçon 3.2 approfondit l’évaluation de la fiabilité).

La définition des données est tout aussi importante. Pour déterminer combien d’ETH 0xA1b2…9F a reçus en février 2024, la liste des transactions d’un explorateur et une requête d’entrepôt de données sur la table transactions donnent toutes deux un total de 41,20 ETH, tandis qu’une requête ajoutant les appels internes de la table traces donne un total de 53,70 ETH. Aucun de ces résultats n’est faux. Les deux premiers ne comptent que les transactions de premier niveau dont le champ to contient l’adresse ; les 12,50 ETH supplémentaires sont arrivés par des appels de contrats (un retrait depuis un portefeuille à contrat intelligent), visibles uniquement dans les traces. Inclure l’ETH encapsulé, un jeton visible uniquement dans les journaux d’événements, donnerait une autre réponse ; compter les appels annulés, que les traces enregistrent mais qui n’ont rien transféré, donnerait une réponse erronée. « 53,70 ETH reçus en valeur native entre les blocs X et Y, en incluant les transferts internes réussis et en excluant le WETH » est une réponse qu’un autre examinateur peut reproduire.

Habitudes favorisant la reproductibilité

Ce qui compromet la reproductibilité est rarement la couche brute, qui ne change plus une fois finalisée. C’est tout ce qui l’entoure :

• Cibles mouvantes. Le bloc « le plus récent » change toutes les quelques secondes. Ancrez chaque requête à une hauteur de bloc et consignez l’empreinte de ce bloc.
• Sources non consignées. Notez le nœud ou le fournisseur, le client et sa version, ainsi que la version du jeu de données et de la table.
• Transformations non consignées. Conservez la requête ou le script exact, y compris les filtres et les conversions d’unités.
• Étiquettes modifiables. Consignez la source de chaque étiquette et la date à laquelle vous l’avez consultée ; les étiquettes sont révisées.
• Données non finalisées. Les blocs récents peuvent être remplacés (leçon 2.1).

Une constatation reposant sur « l’explorateur l’a indiqué mardi dernier » ne peut pas être vérifiée ; une constatation reposant sur une empreinte de bloc précisée, une requête sauvegardée et une version de client consignée peut être vérifiée par toute personne disposant d’un nœud. La leçon 2.6 transforme ces habitudes en un enregistrement de provenance.

Points clés pour l’examen : attendez-vous à devoir distinguer le travail analytique du travail forensique, à reconnaître qu’un niveau d’exigence probatoire suppose un travail reproductible, documenté et défendable, et à connaître les qualités énoncées par ISO/IEC 27037 (répétabilité, reproductibilité, auditabilité, justifiabilité). Préparez-vous à classer des énoncés en observations, inférences et hypothèses, à associer les types d’affaires à leurs points d’amorce et à leurs aboutissements, à distinguer les rôles et à expliquer pourquoi les produits de renseignement restent en dehors des déclarations à valeur probatoire. Concernant les données : les trois couches et leurs hypothèses, txindex et l’absence d’index d’adresses, les nœuds d’archive pour l’état historique, EIP-4444, les raisons pour lesquelles les transferts natifs, internes et de jetons donnent des totaux différents, ainsi que l’ancrage des requêtes à une hauteur de bloc et à une empreinte de bloc.