Traçage à travers les plateformes d'échange et les services dépositaires

Tôt ou tard, presque tout traçage aboutit à une plateforme d'échange, un courtier, un portefeuille dépositaire, un prestataire de paiement ou un site de jeux d'argent. Cette frontière est souvent le point où une enquête peut aboutir, car le service connaît ses clients, détient des registres et peut geler des fonds. C'est aussi le point où le traçage sur la blockchain s'arrête et où les rapports peu rigoureux vont au-delà de ce que les éléments permettent d'affirmer. Cette leçon explique comment les services apparaissent sur la blockchain, comment établir que des fonds sont entrés dans l'un d'eux, ce qui peut être affirmé au sujet de leur fonctionnement interne, quand s'arrêter pour demander des données et comment reprendre le traçage à partir des retraits.

Comment un service dépositaire apparaît sur la blockchain

La plupart des plateformes d'échange centralisées suivent une architecture similaire :

• Adresses de dépôt : chaque client reçoit une ou plusieurs adresses qui appartiennent à la plateforme d'échange, mais sont attribuées à son compte ; les fonds qui y sont envoyés sont crédités dans le registre interne de la plateforme d'échange.
• Balayages : la plateforme d'échange déplace périodiquement les fonds de nombreuses adresses de dépôt vers un portefeuille chaud central : une transaction de regroupement comportant de nombreuses entrées sur les blockchains UTXO, ou, sur Ethereum, une série de transferts vers la même destination, souvent après que la plateforme d'échange a envoyé un peu d'ETH pour le gas.
• Stockage à froid : la majeure partie des réserves est déplacée du portefeuille chaud vers des portefeuilles hors ligne ou multisignatures, puis rapatriée si nécessaire.
• Retraits : ils sont payés depuis le portefeuille chaud, souvent regroupés dans une seule transaction comportant de nombreuses sorties.

Certains services utilisent plutôt des adresses de dépôt omnibus : une même adresse reçoit les fonds de tous les clients, et le client est identifié par un tag ou un mémo contenu dans la transaction, comme le tag de destination sur XRP Ledger ou le champ mémo sur Stellar. L'adresse n'identifie alors que le service ; le tag identifie le client, et un dépôt envoyé sans celui-ci nécessite généralement une récupération manuelle par le service.

Une séquence fictive sur Ethereum illustre le schéma de dépôt et de balayage :

bloc       de            vers          montant (ETH)  remarque
21004112   0xF00d…11  →  0x7c3E…a2     2.5000         dépôt depuis le portefeuille examiné
21004140   0x9aB4…07  →  0x7c3E…a2     0.7500         deuxième expéditeur, même adresse de dépôt
21004233   0x7c3E…a2  →  0xE1f9…44     3.2489         balayage vers le portefeuille chaud (3,25 moins le gas)
21004990   0xE1f9…44  →  0x51e0…3b     3.1000         retrait effectué par un client quelconque

Les trois premières lignes constituent des éléments probants solides : 0x7c3E…a2 transfère tout à 0xE1f9…44, qui est étiqueté comme portefeuille chaud de la plateforme d'échange ; 0x7c3E…a2 est donc très probablement une adresse de dépôt de cette plateforme d'échange, attribuée à un compte. Le fait que deux portefeuilles différents versent des fonds à une même adresse de dépôt suggère également qu'ils sont tous deux liés au même client (leçon 4.3). La quatrième ligne ne peut en aucun cas être reliée au dépôt.

Tous les services ne mettent pas fin à la piste ; classez-les donc avant de commencer :

Les lignes relatives aux services non dépositaires décrivent des mécanismes plutôt que des contreparties ; le traçage à travers ces mécanismes est abordé dans le module 5.

Établir la frontière du service par des éléments probants

La question forensique est précise : sur quel fondement affirmez-vous qu'une adresse est une adresse de dépôt d'un service particulier, et quelle est la solidité de ce fondement ? En utilisant les niveaux de la leçon 3.2 :

Consignez le fondement de l'attribution dans une entrée distincte, avec sa source et sa date de consultation, afin que la fiche de saut puisse le citer (leçon 4.6). En général, le flux vers l'adresse est de niveau A, tandis que l'affirmation selon laquelle l'adresse appartient à un service reste de niveau C jusqu'à confirmation par le service.

À l'intérieur de la boîte noire

Une fois les fonds balayés vers des portefeuilles mutualisés, l'argent du client devient une écriture dans un registre privé. À l'intérieur de celui-ci, le client peut négocier pour obtenir d'autres actifs, transférer des fonds à un autre client sans aucune transaction sur la blockchain, effectuer un retrait vers un compte bancaire ou retirer des cryptoactifs provenant du dépôt d'une autre personne. Un retrait ultérieur est payé à partir des unités de cryptoactifs que détient le portefeuille chaud. Appliquer la méthode FIFO ou la méthode de répartition proportionnelle à travers un portefeuille chaud produit des chiffres, mais ceux-ci décrivent la règle, et non la comptabilité du service ; la plupart des examinateurs considèrent donc un service étiqueté comme un point d'arrêt et indiquent dans leur rapport « déposé auprès de », et non « passé par ».

La colonne de gauche indique ce qu'un rapport forensique peut affirmer. La colonne de droite nécessite des registres.

La frontière n'est pas une impasse, mais un point de relais. À partir de la blockchain, vous pouvez encore établir quel service a reçu les fonds et sur quel fondement ; l'adresse de dépôt, qui correspond dans la plupart des architectures à un seul compte client (ou l'adresse omnibus accompagnée du tag) ; les dépôts exacts avec le txid, la hauteur de bloc, l'heure UTC, l'actif, le montant, le cheminement, le nombre de sauts et la méthode d'allocation ; ainsi que les autres dépôts vers la même adresse, qui peuvent révéler d'autres activités de la personne visée ou d'autres victimes.

Quand s'arrêter et demander des données

L'arrêt du travail sur la blockchain au niveau d'un service est une décision, et les notes du dossier doivent indiquer quand et pourquoi elle a été prise. Arrêtez-vous et demandez des données lorsque :

1. les fonds sont entrés dans un service dépositaire sur un fondement explicité, idéalement de niveau B ou C ;
2. la poursuite du travail sur la blockchain ne pourrait produire que des inférences sur ce qui se passe à l'intérieur ;
3. les fonds peuvent encore se trouver sur le compte, de sorte que tout retard compromet leur récupération ;
4. le dossier de demande est prêt : adresses de dépôt ou tags, txid avec références aux sorties ou aux journaux, montants en unités de base, heures UTC, cheminement, méthode et niveaux.

La question de savoir qui peut obtenir les données, et comment, dépend de la juridiction. De manière générale, la demande émane d'une autorité compétente (police, procureur, cellule de renseignement financier ou tribunal) ou d'une victime dans le cadre d'une procédure civile, et passe par les étapes suivantes :

La conservation et le gel passent en premier, car un solde dans un portefeuille chaud peut partir en quelques minutes ; l'analyse se poursuit en parallèle. Après le vol subi par Bybit en 2025, par exemple, le FBI a publié des dizaines d'adresses liées au blanchiment et a demandé aux plateformes d'échange, aux ponts et à d'autres services de bloquer les transactions qui en provenaient. La rédaction de la demande est abordée dans la leçon 1.4. Pour le traçage, demandez ce dont vous avez besoin pour reprendre : le registre interne complet du compte pour la période concernée (dépôts, opérations de négociation et conversions, transferts internes, retraits en monnaie fiduciaire et en cryptoactifs) et, pour chaque retrait de cryptoactifs, l'actif, la blockchain, le montant, les frais, l'adresse de destination, le txid et l'heure avec son fuseau horaire. Demandez également les autres adresses de dépôt attribuées au compte, les adresses de retrait enregistrées et les comptes liés par un appareil, une adresse IP ou un instrument de paiement, dans un format lisible par machine. Gardez le dossier court et précis : l'équipe de conformité du destinataire effectuera ses recherches par adresse et par txid, et non à partir d'un récit.

Analyse du côté des retraits

Lorsque les données arrivent, le traçage reprend à partir des retraits. Pour poursuivre le cas de la leçon 3.2 : la plateforme d'échange K indique que le dépôt de 1,2 BTC a été crédité, que le compte détenait également d'autres fonds et qu'il a effectué les retraits suivants :

Chaque retrait déclaré est vérifié sur la blockchain avant de servir de base à quoi que ce soit :

-- Vérifier les retraits Bitcoin déclarés par rapport aux sorties sur la blockchain
SELECT r.record_id, r.txid, r.dest_address,
       r.amount_sat                AS reported_sat,
       o.value                     AS onchain_sat,
       r.amount_sat - o.value      AS difference_sat,
       o.block_number, o.block_timestamp
FROM provider_withdrawals r
LEFT JOIN outputs o ON o.transaction_hash = r.txid
                   AND o.address = r.dest_address
WHERE r.chain = 'bitcoin'
ORDER BY r.requested_at;

provider_withdrawals est l'export du service chargé comme table du dossier ; outputs suit le schéma générique des leçons 2.7 et 2.9. La jointure gauche conserve chaque enregistrement même lorsqu'aucune sortie correspondante n'existe. Supposons que W-1 renvoie une valeur sur la blockchain de 49 990 000 satoshis : la différence de 10 000 satoshis correspond aux frais de retrait publiés par la plateforme d'échange ; l'enregistrement indique donc le montant avant déduction des frais. Supposons que W-3 ne renvoie aucune sortie : le txid existe, mais paie une autre adresse. Il s'agit d'une divergence à soumettre au service, et non à corriger silencieusement. W-2 est vérifié de la même manière par rapport aux transferts de jetons sur Tron. L'authentification plus complète des données du prestataire est abordée dans la leçon 7.5.

Trois points en découlent. Premièrement, un retrait confirmé à la fois par un enregistrement et par la blockchain constitue un lien de niveau B entre le compte et la destination. Deuxièmement, la conversion en USDT sur Tron n'est visible que dans les registres : le traçage a changé d'actif et de blockchain à l'intérieur de la boîte noire. Troisièmement, le registre interne constitue lui-même un compte mixte. Les 1,2 BTC ont été crédités sur un compte détenant d'autres fonds ; déterminer quelle part de chaque retrait correspond à la valeur appartenant à la victime est donc à nouveau une question d'allocation, calculée à partir des écritures du registre selon une méthode déclarée (leçon 3.3).

Corrélation temporelle et des montants

En l'absence de données, ou dans l'attente de leur réception, les examinateurs recherchent souvent un retrait qui ressemble au dépôt. Il s'agit d'une inférence, de niveau D, dont la valeur dépend du nombre d'autres possibilités. Dans ce cas, le portefeuille chaud a effectué 212 retraits dans l'heure suivant le dépôt, dont neuf compris entre 1,15 et 1,20 BTC. Un ensemble de neuf candidats constitue une piste à traiter en priorité, et non un lien.

La corrélation échoue également précisément lorsqu'elle importe. Les registres montrent des retraits de 0,5 et 0,3 BTC ainsi qu'une conversion en un stablecoin retiré sur une autre blockchain ; une recherche fondée sur le montant et l'heure visant environ 1,2 BTC aurait orienté avec assurance vers un client sans rapport. Utilisez la corrélation pour formuler des questions au service (« veuillez confirmer le compte associé au dépôt bc1q…dx7e et ses retraits entre 14:00 et 16:00 UTC ») et, si vous la mentionnez dans le rapport, indiquez la taille de l'ensemble de candidats et la fenêtre utilisée.

Services imbriqués et prestataires de paiement

Tous les services dépositaires ne sont pas des plateformes d'échange, et certains nécessitent plusieurs demandes.

• Services imbriqués : un courtier, un bureau d'échange ou une plateforme d'échange de plus petite taille qui détient un compte auprès d'une grande plateforme d'échange. Les fonds provenant de l'adresse de dépôt du service imbriqué appartiennent à ses clients ; les registres de la grande plateforme d'échange renvoient donc à l'intermédiaire, et une deuxième demande est nécessaire, souvent dans une autre juridiction.
• Prestataires de paiement : nombre d'entre eux génèrent une nouvelle adresse par facture et balaient les fonds vers leurs propres portefeuilles. Leurs registres identifient le commerçant et la commande ; le commerçant peut détenir les informations de l'acheteur, ce qui implique une deuxième demande.
• Portefeuilles dépositaires, sites de jeux d'argent et bureaux OTC : ils mutualisent les fonds comme les plateformes d'échange, avec des registres allant de détaillés à sommaires. Un service sans vérification d'identité peut néanmoins détenir des adresses IP, des données d'appareil, des adresses électroniques et des destinations de retrait.

Le piratage de la plateforme d'échange Bitfinex en 2016 illustre ce passage de relais à grande échelle. Selon le ministère de la Justice des États-Unis, l'attaquant a envoyé 119 754 BTC vers un seul portefeuille dans plus de 2 000 transactions non autorisées et, sur environ cinq ans, quelque 25 000 BTC en sont sortis par l'intermédiaire de comptes ouverts sous de fausses identités sur des plateformes d'échange et des marchés du darknet (des comptes sur le marché AlphaBay servaient de relais, avec des dépôts entrants et des montants équivalents sortants), de conversions, notamment en cryptomonnaies axées sur la confidentialité, et de services de mixage. Chaque service dépositaire rompait la piste sur la blockchain tout en constituant une source de données : des fonds suivis jusqu'à un service vendant des cartes-cadeaux contre des cryptomonnaies ont conduit aux prévenus grâce aux données indiquant où une carte avait été utilisée ; un mandat de perquisition a ensuite permis d'obtenir le contenu d'un compte de stockage cloud contenant un fichier chiffré avec les clés privées du portefeuille (leçon 7.5). Les enquêteurs ont déchiffré le fichier le 31 janvier 2022 et, entre le 31 janvier et le 1er février 2022, ont utilisé les clés pour saisir le solde restant du portefeuille, soit environ 94 636 BTC. Le traçage sur la blockchain a trouvé les points d'arrivée auprès des services ; les données hors blockchain ont comblé les lacunes.

Pour chaque service, documentez la frontière de la même manière : le fondement de l'attribution au service, les dépôts exacts, les demandes urgentes envoyées et ce que les données ont ensuite ajouté. La piste est interrompue sur la blockchain, mais pas dans le dossier.

Points clés pour l'examen : l'architecture sur la blockchain d'une plateforme d'échange dépositaire (adresses de dépôt, balayages, portefeuilles chauds et froids, retraits groupés) et les adresses omnibus avec tags ou mémos ; les types de services qui mettent fin au traçage sur la blockchain ; l'attribution d'un niveau à l'affirmation selon laquelle une adresse est une adresse de dépôt d'un service ; les affirmations sur les fonds à l'intérieur d'un service qui sont ou ne sont pas étayées par les données sur la blockchain ; les critères pour s'arrêter et demander des données, en donnant la priorité à la conservation et au gel ; les champs du registre et des retraits nécessaires pour reprendre un traçage ; la vérification des retraits déclarés par rapport à la blockchain, y compris les différences dues aux frais et les divergences ; le registre interne en tant que compte mixte ; la corrélation des montants et des heures comme piste de niveau D avec un ensemble de candidats explicité ; les services imbriqués et les prestataires de paiement nécessitant une deuxième demande.