Suivre les fonds à travers les services de conservation

La plupart des pistes s’arrêtent, au moins temporairement, à un service de conservation : une plateforme d’échange, un courtier, un portefeuille de conservation, un processeur de paiement ou un site de jeux d’argent. C’est à cette frontière que l’enquête devient souvent susceptible d’aboutir, car le service détient des registres et peut geler les fonds, mais c’est aussi là que les rapports insuffisamment étayés vont trop loin. Cette leçon explique comment établir que des fonds sont entrés dans un service, ce qu’on peut ou ne peut pas affirmer sur ce qui se passe à l’intérieur, quand cesser le traçage et demander des registres, et comment reprendre le traçage à partir des retraits.

Établir la frontière du service

La leçon IDFE-BA Suivre la valeur à travers les plateformes d’échange et les services explique les adresses de dépôt, les balayages, les portefeuilles chauds et les adresses omnibus. La question forensique est plus précise : sur quelle base affirmez-vous qu’une adresse est une adresse de dépôt d’un service en particulier, et quelle est la solidité de cette base ?

Consignez la base d’attribution dans une entrée distincte, avec sa source et la date à laquelle elle a été récupérée, afin que l’enregistrement du saut puisse la citer (voir la leçon Sources d’attribution et leur fiabilité). Selon les niveaux de la leçon Traçage selon une norme probatoire, le transfert vers l’adresse est généralement de niveau A, tandis que l’affirmation selon laquelle l’adresse appartient à un service est de niveau C tant que le service ne l’a pas confirmée.

À l’intérieur de la boîte noire

Une fois que les fonds sont balayés vers les portefeuilles mutualisés d’un service, l’argent du client devient une entrée dans un registre privé. Dans ce registre, le client peut échanger ces fonds contre d’autres actifs, les transférer vers le compte d’un autre client sans aucune transaction sur la chaîne, les retirer vers un compte bancaire ou retirer des cryptomonnaies provenant du dépôt de quelqu’un d’autre. Rien de tout cela n’est visible sur la chaîne. Appliquer le FIFO ou une décote à travers un portefeuille chaud produit des chiffres, mais ceux-ci décrivent la règle, pas les registres du service.

La colonne de gauche présente ce qu’un rapport forensique peut affirmer. Celle de droite nécessite des registres.

Quand s’arrêter et demander des registres

Cesser le travail sur la chaîne à l’arrivée des fonds dans un service est une décision, et les notes de dossier doivent indiquer quand et pourquoi elle a été prise. Arrêtez-vous et demandez des registres lorsque :

1. les fonds sont entrés dans un service de conservation selon une base précisée, de préférence de niveau B ou C ;
2. la poursuite du travail sur la chaîne ne pourrait produire que des déductions sur ce qui se passe à l’intérieur ;
3. les fonds se trouvent peut-être encore dans le compte, de sorte qu’un retard compromet leur récupération ;
4. le dossier de demande est prêt : adresses de dépôt ou balises, txids avec références aux sorties ou aux journaux, montants en unités de base, heures UTC, chemin, méthode et niveaux.

Les demandes de conservation et de gel doivent être envoyées en premier, car le solde d’un portefeuille chaud peut disparaître en quelques minutes ; l’analyse se poursuit en parallèle. La rédaction de la demande est abordée dans la leçon Travailler avec les fournisseurs de services. Du point de vue du traçage, demandez les éléments nécessaires pour reprendre le traçage : le registre interne complet du compte pour la période concernée (dépôts, transactions et conversions, transferts internes vers d’autres comptes, retraits en monnaie fiduciaire et en cryptomonnaies) et, pour chaque retrait de cryptomonnaie, l’actif, la chaîne, le montant, les frais, l’adresse de destination, le txid et l’heure avec son fuseau horaire. Demandez également les autres adresses de dépôt attribuées au compte, les adresses de retrait enregistrées et les comptes liés par appareil, adresse IP ou instrument de paiement. Demandez des exportations lisibles par machine.

Analyse à partir des retraits

Lorsque les registres arrivent, le traçage reprend à partir des retraits. Pour poursuivre le cas : la plateforme d’échange K indique que le dépôt de 1,2 BTC a été crédité, que le compte détenait également d’autres fonds et qu’il a effectué les retraits suivants :

Chaque retrait communiqué est d’abord vérifié sur la chaîne avant d’entreprendre quoi que ce soit à partir de ces informations :

-- Vérifier les retraits Bitcoin communiqués par rapport aux sorties sur la chaîne
SELECT r.record_id, r.txid, r.dest_address,
       r.amount_sat                AS reported_sat,
       o.value_sat                 AS onchain_sat,
       r.amount_sat - o.value_sat  AS difference_sat,
       b.block_time
FROM provider_withdrawals r
LEFT JOIN outputs o ON o.txid = r.txid AND o.address = r.dest_address
LEFT JOIN blocks  b ON b.block_hash = o.block_hash
WHERE r.chain = 'bitcoin'
ORDER BY r.requested_at;

Les jointures externes gauches conservent chaque enregistrement, même en l’absence de sortie correspondante. Supposons que W-1 renvoie une valeur sur la chaîne de 49 990 000 satoshis, soit une différence de 10 000 qui correspond aux frais de retrait publiés par la plateforme d’échange : l’enregistrement indique le montant avant déduction des frais. Supposons que W-3 ne renvoie aucune sortie : le txid existe, mais le paiement est adressé à une autre adresse. C’est une divergence à soumettre au service, et non à corriger silencieusement. W-2 est vérifié de la même manière par rapport aux transferts de jetons sur Tron. L’authentification plus complète des registres du fournisseur est abordée dans la leçon Les comptes sur les plateformes d’échange et dans le nuage comme éléments de preuve.

Trois observations s’imposent. Premièrement, un retrait confirmé à la fois par le registre et par la chaîne constitue un lien de niveau B entre le compte et la destination. Deuxièmement, la conversion en USDT sur Tron n’est visible que dans les registres ; le traçage a changé d’actif et de chaîne à l’intérieur de la boîte noire. Troisièmement, le registre interne est lui-même un compte mixte : les 1,2 BTC ont été crédités sur un compte qui détenait d’autres fonds. La part de chaque retrait correspondant à la valeur appartenant à la victime est donc à nouveau une question de répartition, à calculer à partir des entrées du registre selon une méthode déclarée (voir la leçon Méthodes de traçage et leurs conséquences).

Corrélation temporelle et de montant

En l’absence de registres, ou en attendant de les recevoir, les enquêteurs recherchent souvent un retrait qui ressemble au dépôt. Il s’agit d’une déduction, de niveau D, dont la valeur dépend du nombre d’autres possibilités. Dans le cas ci-dessus, le portefeuille chaud de la plateforme d’échange a effectué 212 retraits au cours de l’heure suivant le dépôt, dont neuf d’un montant compris entre 1,15 et 1,20 BTC. Un ensemble de neuf candidats constitue une piste à examiner en priorité, pas un lien.

La corrélation échoue aussi précisément dans les cas qui comptent. Les registres montrent des retraits de 0,5 et de 0,3 BTC, ainsi qu’une conversion en stablecoin retiré sur une autre chaîne ; une recherche fondée sur le montant et l’heure pour environ 1,2 BTC aurait désigné avec assurance le compte d’un client sans lien avec l’affaire. Utilisez la corrélation pour formuler des questions à adresser au service (« veuillez confirmer le compte associé au dépôt bc1q…dx7e et ses retraits entre 14:00 et 16:00 UTC ») et, le cas échéant, présentez-la en indiquant la taille de l’ensemble des candidats et la fenêtre utilisée. La leçon IDFE-BA Confiance, incertitude et formulation explique comment dénombrer les candidats.

Services mutualisés et processeurs de paiement

Tous les services de conservation ne sont pas des plateformes d’échange, et certains nécessitent plusieurs demandes.

• Services imbriqués : un courtier, un service d’échange ou une plateforme d’échange de moindre taille qui détient un compte auprès d’une grande plateforme d’échange. Les registres de la grande plateforme d’échange identifient le service imbriqué ; une deuxième demande adressée à ce dernier est nécessaire, souvent dans une autre juridiction (voir la leçon Autorité légale et coopération internationale).
• Processeurs de paiement : beaucoup génèrent une nouvelle adresse pour chaque facture et balayent les fonds vers leurs propres portefeuilles. Leurs registres identifient le commerçant et la commande ; le commerçant peut ensuite détenir les informations de l’acheteur, ce qui implique une deuxième demande.
• Portefeuilles de conservation, sites de jeux d’argent et bureaux OTC : ils mutualisent les fonds comme les plateformes d’échange, et leurs registres sont plus ou moins détaillés. Même un service qui ne vérifie pas l’identité peut détenir des adresses IP, des données sur les appareils, des adresses courriel et des destinations de retrait.

Pour chacun d’eux, documentez la frontière de la même manière : la base de l’attribution au service, les dépôts exacts, les demandes urgentes envoyées et les éléments apportés ensuite par les registres. La piste s’interrompt sur la chaîne, mais elle ne s’interrompt pas dans le dossier.

Points clés pour l’examen : évaluer l’affirmation selon laquelle une adresse est une adresse de dépôt d’un service (registres, listes publiées par le service, transfert vers un portefeuille chaud dont l’attribution est solide, étiquettes avec ou sans provenance) ; déterminer quelles affirmations sur les fonds à l’intérieur d’un service sont ou ne sont pas étayées par les données de la chaîne ; critères pour arrêter le travail sur la chaîne et demander des registres, en commençant par la conservation et le gel ; éléments du registre et champs des retraits nécessaires pour reprendre un traçage ; vérification des retraits communiqués par rapport à la chaîne et traitement des différences liées aux frais et des divergences ; traitement du registre interne comme un compte mixte ; corrélation fondée sur le montant et l’heure comme piste de niveau D, avec indication de l’ensemble des candidats ; services imbriqués et processeurs de paiement nécessitant une deuxième demande.