Le cycle de vie de l’enquête : de la question à l’hypothèse

Une enquête sur les cryptoactifs est un projet aux conséquences juridiques, qui échoue de manière prévisible : les délais de conservation sont dépassés, le périmètre dérive, les constatations ne sont pas revues et personne ne peut ensuite expliquer pourquoi une piste a été abandonnée. Elle échoue aussi de manière discrète : les données sur la blockchain sont si interconnectées qu’un enquêteur qui part d’une explication privilégiée peut presque toujours trouver des transactions qui semblent la confirmer. Un cycle de vie défini donne à chaque étape un objectif, un livrable et une trace dans le dossier ; une question bien formulée et des hypothèses concurrentes préservent la rigueur de l’analyse tout au long de ce cycle.

Les étapes en un coup d’œil

ISO/IEC 27043 regroupe les enquêtes en processus de préparation, d’initialisation, d’acquisition et d’investigation, avec des processus concomitants, tels que l’autorisation, la documentation et la chaîne de conservation, qui s’appliquent tout au long de l’enquête : ce sont des fils conducteurs de la réception à la clôture, et non des étapes. Les étapes ne sont pas non plus linéaires. L’analyse révèle de nouveaux points de départ, comme une deuxième victime ou un pont vers une autre blockchain, ce qui ramène l’enquête à la définition du périmètre et à la collecte ; une revue qui relève une lacune la ramène à la planification. Chaque boucle laisse une entrée datée expliquant le changement.

Réception et triage

La réception consigne le signalement tel qu’il est reçu : son auteur, les faits allégués, tous les identifiants fournis (txids, adresses, identifiants de compte, captures d’écran, exports de conversations), les heures des événements en UTC, la perte déclarée et les démarches déjà entreprises par l’auteur du signalement, car une victime qui a publié l’adresse de l’escroc ou contacté la plateforme d’échange peut déjà avoir alerté la personne visée.

Le triage détermine la priorité. La rapidité décide souvent de l’issue ; les facteurs visent donc à déterminer si une action immédiate peut encore changer la situation.

Des fonds passés par un mixeur il y a deux ans sont consignés, mais ne sont pas traités en premier. Consignez la décision de triage et ses motifs : une décision de ne pas agir peut elle aussi devoir être expliquée ultérieurement.

De la demande à une question à laquelle on peut répondre

Les demandes arrivent rarement sous une forme exploitable. « Trouvez les escrocs » ou « Qui se cache derrière ce portefeuille ? » décrivent une préoccupation, pas une question à laquelle les données peuvent répondre. Une bonne question est précise (elle nomme les actifs, les adresses ou les événements), délimitée (dans le temps, en nombre de sauts ou en effort), traitable à partir de données pouvant être obtenues légalement, utile à la décision (la réponse modifie ce que quelqu’un fera : geler, demander des documents, classer le dossier) et neutre (elle ne présuppose pas la réponse).

La première reformulation abandonne le « qui » : l’identité d’une personne privée ne peut généralement pas être établie à partir des seules données de la blockchain, et l’enquête a besoin de connaître le type d’entité et les services auprès desquels existent des documents hors blockchain (leçon 3.4). Les questions sont aussi descriptives (ce qui s’est passé), explicatives (pourquoi, ou quel type d’acteur) ou estimatives (quelque chose qui n’est pas observable ou qui ne s’est pas encore produit, par exemple si les fonds restants atteindront une plateforme d’échange) ; chacune exige un type de réponse et une formulation du niveau de confiance différents (leçon 9.2).

Définition du périmètre

La déclaration de périmètre fixe les questions et les limites de chaque constatation.

Les points de départ, les identifiants à partir desquels l’enquête commence, sont vérifiés sur la blockchain avant utilisation : les victimes lisent mal les captures d’écran, copient des adresses tronquées et confondent les réseaux, et le même format d’adresse EVM est valide sur de nombreuses blockchains ; précisez donc lesquelles ont été vérifiées. Exprimez la période en hauteurs de bloc ainsi qu’en dates UTC, avec une marge avant le premier événement connu ; les plages de blocs sont exactes, tandis que les horodatages appellent des réserves (leçon 2.1).

Les limites de profondeur sont importantes, car le traçage connaît une explosion combinatoire : si chaque adresse envoie en moyenne à trois autres, cinq sauts donnent 3^5 = 243 chemins et dix sauts, 59 049. Une règle d’arrêt aux services dépositaires n’est pas de la paresse : au-delà d’un portefeuille chaud, les mouvements ne relèvent plus du propriétaire initial. Une requête rapide de dimensionnement comptant les contreparties distinctes des points de départ dans la plage de blocs permet de tester le périmètre : 40 est gérable ; 40 000 suggère qu’un point de départ est un service et que la question doit être repensée.

L’élargissement du périmètre n’est pas mauvais en soi, mais un élargissement non consigné l’est. Lorsque le périmètre change, consignez ce qui a changé, pourquoi, qui l’a approuvé et à quelle date.

Planification et hypothèses concurrentes

Le plan d’enquête répertorie les tâches, les données nécessaires à chacune, le fondement juridique requis pour chaque source (leçon 1.3), les responsables, les échéances et les dépendances ; les demandes à l’étranger peuvent prendre des mois et sont donc lancées tôt, en parallèle des travaux sur la blockchain.

Une hypothèse est une explication testable de ce que montrent les données. Formulez-en plusieurs par écrit avant d’en évaluer une, incluez une explication non malveillante, rendez-les aussi mutuellement exclusives que possible et demandez-vous « qu’est-ce qui pourrait encore produire ce schéma ? » jusqu’à ne plus trouver de nouvelles réponses. Pour une escroquerie à l’investissement signalée : les opérateurs ont pris les fonds ; un tiers a compromis le portefeuille de la victime ; ou la plateforme était une véritable entreprise, quoique en difficulté. Le dossier doit montrer quelles hypothèses ont été testées et quels éléments de preuve les ont éliminées.

La structure est importante, car, comme l’a expliqué Richards Heuer, ancien analyste de la CIA, les biais se comportent comme des illusions d’optique : les connaître ne les fait pas disparaître. La leçon 1.5 traite de la maîtrise des biais en général ; leurs manifestations sur la blockchain sont les suivantes :

Tester les hypothèses : ACH

L’analyse des hypothèses concurrentes (ACH) est la technique décrite par Heuer dans Psychologie de l’analyse du renseignement (1999) ; elle vient de la pratique du renseignement, et non du droit. Ses huit étapes : (1) identifier les hypothèses, idéalement avec des collègues qui voient l’affaire différemment ; (2) dresser la liste des éléments de preuve significatifs, y compris les suppositions et les éléments attendus mais absents ; (3) construire une matrice en indiquant dans chaque cellule « compatible », « incompatible » ou « sans objet » ; (4) l’affiner en écartant les éléments qui ne sont pas discriminants ; (5) tenter de réfuter les hypothèses, pour que celle qui présente le moins d’incompatibilités subsiste ; (6) tester la sensibilité de la conclusion à quelques éléments critiques ; (7) présenter la vraisemblance relative de toutes les hypothèses ; (8) définir des jalons, des observations futures qui montreraient que les événements prennent une autre direction.

L’idée centrale est le pouvoir diagnostique : des éléments compatibles avec toutes les hypothèses n’indiquent en rien laquelle est vraie, quelle que soit la quantité recueillie, tandis qu’un seul élément incompatible avec deux hypothèses peut trancher la question.

Un exemple de matrice

L’adresse Bitcoin bc1q…m4x2 reçoit 38 petits paiements de 38 adresses en six jours, puis les dépense tous dans une seule transaction comportant deux sorties. Trois hypothèses conviennent : H1, il s’agit d’une adresse de dépôt de plateforme d’échange dont les fonds sont transférés vers un portefeuille chaud ; H2, un propriétaire consolide ses propres bitcoins alors que les frais sont faibles ; H3, un voleur rassemble des sorties issues de chaînes d’effeuillage antérieures.

E1 et E5 n’ont pas de pouvoir diagnostique ; E2 est compatible avec H1, car les plateformes d’échange reçoivent des fonds de n’importe qui. H1 ne présente aucune incompatibilité, H2 en présente trois et H3 deux. Sensibilité : E3 et E4 soutiennent la conclusion, et tous deux reposent sur une seule source d’étiquetage (E3 selon la logique des entrées communes de la leçon 4.1). Si cette source est erronée, H1 s’effondre ; l’étiquette est donc vérifiée indépendamment, par exemple en confirmant que le schéma de transfert centralisé se répète sur de nombreuses adresses de dépôt. Jalon : si bc1q…m4x2 envoie un jour des fonds ailleurs que vers le portefeuille chaud connu de la plateforme d’échange, H1 mérite d’être réexaminée. Les fonds ont très probablement atteint un service dépositaire ; l’étape suivante est donc une demande de documents par voie légale, et non davantage de traçage.

De la collecte à la clôture

La collecte permet d’acquérir des données sur le fondement juridique approprié et de les conserver pour une vérification ultérieure (leçon 8.2). L’analyse les transforme en constatations assorties d’une méthode, d’un fondement et d’un niveau de confiance (module 3). La revue est une étape distincte, pas une simple courtoisie : une personne qui n’a pas effectué le travail réexécute les sauts clés à partir des données brutes et remet en question chaque inférence ; les désaccords et leur résolution sont versés au dossier (leçon 8.3). Viennent ensuite le rapport (leçon 9.2) et la communication des pièces, y compris les éléments non utilisés et la provenance des outils et des étiquettes (leçon 8.4). La clôture est facile à négliger : la note consigne l’issue de l’enquête, les pistes ouvertes, les actifs encore détenus et les personnes qui les contrôlent, les durées de conservation des éléments de preuve et des données personnelles, ainsi que les enseignements tirés. Les enquêtes sur les cryptoactifs sont souvent rouvertes lorsque des fonds dormants sont déplacés des années plus tard ; le dossier doit donc permettre à un autre examinateur de reprendre là où le précédent s’est arrêté.

Un exemple de réception

Le dossier est l’emplacement unique, à accès restreint, où sont réunis tous les éléments de l’affaire : réception, périmètre et modifications, plan, fondement juridique, demandes et réponses, registre des éléments de preuve, notes, constatations, revues, rapports, communication des pièces et clôture.

Une victime déclare avoir perdu 48 500 USDT sur Tron en cinq paiements sur trois semaines au profit d’une plateforme de négociation qui a cessé de répondre.

1. Vérifier les points de départ. Quatre txids sont confirmés sur Tron. Le cinquième, issu d’une capture d’écran, ne se trouve pas sur Tron mais sur Ethereum, où la victime avait envoyé un paiement test ; les deux faits sont consignés.
2. Suivre les fonds et effectuer le triage. Le dernier paiement, de 9 800 USDT, a atteint une adresse dont les fonds ont été transférés il y a deux heures vers un portefeuille chaud étiqueté Exchange K : fonds auprès d’un service dépositaire, déplacement récent, priorité élevée.
3. Agir. Des demandes de conservation et de gel volontaire sont adressées à Exchange K le matin même (leçon 1.4) ; la possibilité pour l’émetteur du stablecoin de geler l’adresse destinataire est inscrite au plan.
4. Définir le périmètre. Les points de départ, les deux blockchains, une période commençant une semaine avant le premier paiement, trois questions et des hypothèses concurrentes sont consignés par écrit.

{
  "case_id": "CF-2026-0147",
  "received_utc": "2026-03-04T09:15:00Z",
  "allegation": "investment scam; funds sent to an unresponsive trading platform",
  "seeds": [
    {"chain": "tron", "type": "txid", "value": "7b2f…d9e0", "verified": true},
    {"chain": "ethereum", "type": "txid", "value": "0x3a8c…f71b", "verified": true,
     "note": "screenshot labeled Tron; found on Ethereum"}
  ],
  "reported_loss": {"asset": "USDT", "amount": "48500.00"},
  "priority": "high",
  "priority_reason": "9,800 USDT reached a suspected Exchange K deposit address 2 hours before intake",
  "immediate_actions": ["preservation request P-01", "voluntary freeze request F-01"],
  "assigned_to": "examiner-07",
  "authority_status": "production order requested"
}

La fiche montre les points de départ vérifiés, la divergence et sa résolution, le motif de la priorité et chaque action avec une référence à la demande versée au dossier. Deux des cinq points de départ sont présentés ; la liste complète figure dans la déclaration de périmètre. Les montants sont des chaînes de caractères afin d’éviter les arrondis.

Points clés pour l’examen : attendez-vous à des questions sur les neuf étapes et leurs livrables dans le dossier, les processus concomitants d’ISO/IEC 27043 et les facteurs de triage. Sachez reformuler une demande vague en une question précise, délimitée, traitable, utile à la décision et neutre ; énumérer les éléments du périmètre (points de départ vérifiés, périodes en hauteurs de bloc, limites de sauts, règles d’arrêt aux services dépositaires) ; et expliquer l’explosion combinatoire liée à la profondeur (3^5 = 243). Maîtrisez les hypothèses concurrentes, dont une non malveillante, les biais sur la blockchain et l’ACH : classement selon les incompatibilités, pouvoir diagnostique, sensibilité et jalons. Sachez reconnaître une fiche de réception et une note de clôture rigoureuses.