Passages entre chaînes et traçage interchaînes

Les fonds volés et d’origine criminelle traversent désormais plusieurs blockchains en quelques heures, et chaque passage déplace les éléments de preuve vers un autre registre, souvent auprès d’un autre détenteur de données dans un autre pays. Deux registres ne partagent aucune arête de transaction : le traçage interchaînes consiste donc à relier leurs enregistrements et à indiquer avec rigueur la solidité de chaque rapprochement. C’est aussi une course contre la montre : chaque passage ajoute un problème de rapprochement, des données à préserver et un lien dont il faut préciser la solidité. Les swaps et les plateformes d’échange instantané sont traités dans la leçon 5.2, les ponts, les rollups et les autres architectures de chaînes dans la leçon 5.4 ; cette leçon porte sur le schéma général, la notation des liens interchaînes, le rapprochement en l’absence d’identifiant, ainsi que la consignation et la conduite d’une enquête multichaîne.

Pourquoi les délinquants passent d’une chaîne à l’autre

Le passage entre chaînes désigne le déplacement de valeur entre blockchains ou types d’actifs, au moyen de ponts, de swaps ou de services de plateforme d’échange, avec pour effet (et souvent pour objectif) de rendre une piste plus difficile à suivre. Les délinquants passent d’une chaîne à l’autre pour plusieurs raisons, généralement simultanées :

• Rompre le graphe. Chaque passage oblige l’enquêteur à établir un lien qu’un outil limité à une seule chaîne ne tracera pas automatiquement, et certains outils ne couvrent que certaines chaînes et certains ponts.
• Quitter les actifs susceptibles d’être gelés. Les émetteurs de stablecoins peuvent geler les jetons à une adresse (leçon 10.1), si bien que les voleurs détenant des stablecoins les échangent souvent contre un actif natif en quelques minutes. L’inverse se produit également : les fonds sont convertis en stablecoins sur une chaîne à faibles frais juste avant l’encaissement, car c’est là que se trouvent les courtiers et les acheteurs.
• Accéder à la liquidité et aux points de sortie. Les montants importants nécessitent des marchés profonds, et les points d’encaissement (courtiers de gré à gré, vendeurs de pair à pair, plateformes d’échange aux contrôles insuffisants) privilégient certaines chaînes et certains actifs.
• Fragmenter les compétences juridictionnelles. Une piste qui passe par l’interface d’un pont dans un pays, un service de plateforme d’échange instantané dans un deuxième et une plateforme d’échange dans un troisième nécessite trois séries de demandes légales, chacune avec ses propres délais (leçon 1.3).
• Accéder aux systèmes de confidentialité. Certains passages aboutissent à une cryptomonnaie de confidentialité ou à un mixeur (module 6).

Le passage d’une chaîne à l’autre ne constitue pas en soi une preuve d’infraction : les utilisateurs ordinaires empruntent des ponts pour réduire les frais ou rechercher des rendements. Le rapport du GAFI Actifs virtuels : indicateurs d’alerte de blanchiment de capitaux et de financement du terrorisme (septembre 2020) considère comme des signaux d’alerte les transactions utilisant plusieurs types d’actifs virtuels malgré des frais supplémentaires, ainsi que les conversions importantes entre types d’actifs sans explication commerciale logique. L’indicateur réside dans la combinaison des facteurs : rapidité, coût, absence de finalité économique et origine criminelle.

Séquences typiques

Après le vol commis sur le pont Ronin en mars 2022, une analyse publique d’une société de sécurité a décrit le déplacement des ETH volés à travers un mixeur à contrat intelligent, leur échange sur des DEX contre un jeton indexé sur le bitcoin, leur transfert par un pont vers le réseau Bitcoin et leur déballage en BTC, avant qu’une partie ne passe par des mixeurs de bitcoins dépositaires. Après le vol d’environ 1,5 milliard de dollars sur la plateforme d’échange Bybit en février 2025, une estimation publiée le 27 février 2025 par la chercheuse en sécurité Taylor Monahan recensait au moins 161 490 ETH transférés par le protocole de swap interchaînes THORChain en 3 934 transactions en environ cinq jours, et le point de situation publié par la victime elle-même le 4 mars 2025 indiquait qu’environ 72 % des ethers volés (361 255 ETH) étaient passés par THORChain et qu’environ 83 % (417 348 ETH) avaient été convertis en bitcoins.

Une séquence générique de blanchiment à la suite d’un vol ou d’une escroquerie :

Changements de forme sur une même chaîne

Avant de quitter une chaîne, les fonds changent souvent de forme, et chaque changement doit être consigné avec son taux. Un swap sur DEX constitue un lien déterministe au sein d’une transaction unique, mais le traçage doit changer d’actif (leçon 5.2). Les actifs enveloppés représentent un actif sous une autre forme. Le WETH enveloppe l’ETH sur Ethereum même : le contrat WETH émet un événement Deposit lorsque des ETH y entrent et un événement Withdrawal lorsqu’ils en sortent, selon un rapport de un pour un. Les jetons de bitcoins enveloppés sur Ethereum sont émis et détruits par un dépositaire ou un pont : le lien vers les véritables bitcoins passe donc par les enregistrements de cet émetteur, et non par l’une ou l’autre des chaînes. Des versions d’un même jeton transférées par des ponts peuvent coexister sur un réseau sous différentes adresses de contrat ; identifiez donc toujours un jeton par son adresse de contrat, jamais par son symbole.

Notation des liens interchaînes

Sur une même chaîne, une sortie dépensée ou un événement de transfert constitue un fait établi. Entre chaînes, il n’existe aucune arête commune : chaque lien repose donc sur l’un des trois fondements suivants :

Un parcours n’est jamais plus solide que son maillon le plus faible. Application aux types de passage habituels :

Trois conséquences pratiques en découlent. Premièrement, lorsque l’adresse de destination est inscrite dans la transaction source (champ du destinataire d’un pont, mémo de swap), le lien ne dépend aucunement d’un rapprochement : lisez l’événement source, trouvez ses champs d’identifiant et de destination, puis recherchez le même identifiant sur la chaîne de destination avant de rechercher par montant (la leçon 5.4 expose les étapes du rapprochement pour les ponts). Deuxièmement, un passage par un service dépositaire met fin à la piste sur la chaîne du côté du dépôt (leçon 3.4) ; ce qui en sort constitue une nouvelle piste qui doit être reliée par des enregistrements ou par une inférence explicite. Troisièmement, consignez le changement d’actif à chaque passage, avec le taux et la source du prix, car les montants changent de forme autant que de registre.

Rapprochement par montant et par temps

Lorsqu’aucun identifiant ne relie les deux côtés, vous devez rechercher des candidats sur la chaîne de destination, et la fenêtre de recherche doit découler du mécanisme, non d’une habitude.

Fenêtres temporelles. Les intervalles entre blocs vont de bien moins d’une seconde à environ dix minutes, et les délais varient selon le mécanisme : de quelques secondes à quelques minutes pour une exécution par un relayeur, quelques minutes pour un pont qui attend la finalité de la chaîne source, environ une semaine pour un retrait canonique depuis un rollup optimiste, et de quelques minutes à plusieurs heures pour un service de plateforme d’échange instantané, selon sa politique de confirmation et sa file d’attente. Convertissez tous les horodatages en UTC, consignez les hauteurs de bloc sur les deux chaînes et tenez compte des écarts d’horloge dans les propres enregistrements des services.

Fourchettes de montants. La sortie attendue est égale à l’entrée multipliée par le taux de change, moins les frais du service, moins les frais de réseau des deux côtés. Calculez une fourchette, pas une valeur unique : le taux au moment du dépôt et celui au moment du versement peuvent différer, et certains services proposent un taux fixe pendant une courte période. Consignez la source du prix et l’heure de chaque cotation.

Exemple détaillé

Un portefeuille faisant l’objet d’une enquête envoie 2,00000000 BTC à une adresse de dépôt d’une plateforme d’échange instantané à 14:02 UTC. À cet instant, 1 BTC = 60 000 USD et 1 ETH = 2 400 USD ; 2 BTC valent donc 50 ETH. En tenant compte de frais de service de 0,5 % à 1 %, auxquels s’ajoutent les coûts de réseau, le versement attendu est d’environ 49,4 à 49,75 ETH. La requête répertorie les versements en ETH du service dans l’heure suivante, dans une fourchette de 5 % en dessous de 50 ETH :

-- service_outflows_eth : table du dossier des versements en ETH du service, créée à partir
-- des transactions et des traces, avec conversion de la valeur de wei en ETH
SELECT o.transaction_hash, o.to_address, o.block_timestamp, o.amount_eth,
       ABS(o.amount_eth - 49.6) / 49.6 AS rel_gap      -- écart par rapport à la valeur attendue
FROM service_outflows_eth o
WHERE o.block_timestamp >= TIMESTAMP '2026-05-11 14:02:00'
  AND o.block_timestamp <  TIMESTAMP '2026-05-11 15:02:00'
  AND o.amount_eth BETWEEN 47.5 AND 50.0                 -- fourchette de 5 % en dessous de 50 ETH
ORDER BY rel_gap;

Elle renvoie quatre versements : 49,61 ETH à 14:19, 49,58 ETH à 14:51, 49,20 ETH à 14:33 et 48,95 ETH à 14:48. Les deux premiers correspondent à la fourchette attendue ; les deux derniers n’y correspondent pas. Le rapprochement a réduit le nombre de candidats de quatre à deux, mais il n’a pas établi de lien. D’autres éléments de preuve peuvent les départager : l’un des destinataires envoie-t-il ensuite des fonds à une adresse de dépôt de plateforme d’échange déjà utilisée par le sujet ? Partage-t-il des sources de financement des frais de gas ou des habitudes temporelles avec les portefeuilles connus du sujet ? Chaque fait indépendant renforce ou affaiblit un candidat.

Quantifier et défendre le rapprochement

Les liens probabilistes nécessitent des chiffres, pas seulement des adjectifs :

• Taille de l’ensemble des candidats : nombre de versements correspondant à la fenêtre et à la fourchette. Un candidat parmi quatre est très différent d’un candidat parmi quarante.
• Taux de correspondance fortuite : appliquez la même règle à un échantillon de dépôts sans rapport avec l’affaire auprès du même service, à des moments aléatoires. Si 60 % des dépôts aléatoires trouvent également une « correspondance », une correspondance constitue un élément de preuve faible ; si seuls 2 % en trouvent une, elle constitue un élément de preuve solide.
• Sensibilité : élargissez et réduisez la fenêtre et la fourchette. Un lien qui n’apparaît que sous un paramétrage étroit est fragile.
• Corroboration : comptez les signaux indépendants (montant, chronologie, comportement de la destination, convergence ultérieure avec des portefeuilles connus) et relevez ceux qui contredisent le lien.

Consignez la fenêtre et la fourchette, ainsi que leur justification, avant de lancer la recherche : une correspondance trouvée seulement après avoir ajusté la fenêtre pour la faire apparaître a peu de valeur devant un tribunal. Formulez ensuite le résultat dans un langage proportionné au degré de certitude (leçon 9.2), distinguez visuellement les liens déterministes et probabilistes dans les schémas (arêtes en traits pleins et en pointillés, leçon 9.3), et répertoriez les identifiants et les requêtes en annexe afin que le parcours puisse être reconstitué sur les deux chaînes.

Consigner chaque passage

Chaque passage mérite un enregistrement structuré dans le dossier d’enquête, conservé avec les notes de travail et haché avec les autres pièces (leçon 8.3). Exemple fictif :

{
  "hop_id": "H-04",
  "type": "bridge_liquidity_fill",
  "source": {"chain_id": 1, "txid": "0x5e2a…c71d", "log_index": 212,
             "block": 25466930, "block_hash": "0x8b41…e02f",
             "time_utc": "2026-06-16T02:58:11Z", "asset": "ETH",
             "amount_wei": "600000000000000000000"},
  "destination": {"chain_id": 42161, "txid": "0x91bf…04ae", "log_index": 7,
                  "block": 483120877, "block_hash": "0x2d7c…91a4",
                  "time_utc": "2026-06-16T02:58:47Z", "asset": "ETH",
                  "amount_wei": "599640000000000000000"},
  "link_key": {"origin_chain_id": 1, "deposit_id": "1840221"},
  "grades": {"flow": "A", "basis": "shared key verified on both chains"},
  "fee_explained": "0.36 ETH relayer fee quoted in deposit event",
  "sources": ["own archive node (ETH)", "provider RPC (ARB), checked on explorer"],
  "records_to_request": ["bridge front end: API and IP logs, depositor address"],
  "examiner": "EX-07", "recorded_utc": "2026-06-16T09:40:00Z"
}

L’enregistrement identifie les deux côtés à l’aide de l’identifiant de chaîne, du hachage de transaction, de l’index du journal, de la hauteur et du hachage du bloc, de l’heure UTC, de l’actif et du montant exprimé en unités de base entières ; la clé qui les relie ; la note et son fondement ; une explication de la différence de montant (600 − 599,64 = 0,36 ETH) ; la provenance des données ; et les enregistrements susceptibles de confirmer ou de prolonger le passage. Une différence de montant inexpliquée ou une source de données manquante est une faiblesse que la défense trouvera : cet enregistrement vous oblige donc à traiter ces deux points au moment des faits. Pour un passage probabiliste, le même enregistrement contient la fenêtre, la fourchette, le nombre de candidats et le taux de correspondance fortuite à la place de la clé de liaison.

Travailler contre la montre

Les délinquants déplacent les fonds en quelques heures alors que les procédures légales prennent des jours : le plan d’une enquête multichaîne doit donc être exécuté en parallèle :

1. Cartographiez les passages déjà visibles et déterminez pour chacun qui peut détenir des enregistrements : opérateurs et interfaces de ponts, relayeurs, opérateurs d’interfaces désignés dans les champs d’affiliation des swaps, services de plateforme d’échange instantané, plateformes d’échange.
2. Envoyez des demandes de préservation à tous simultanément, et non les unes après les autres (leçon 1.4).
3. Surveillez les soldes non déplacés. Une adresse dormante sur une chaîne peut être le prochain passage de demain, et un retrait dont l’exécution prendra plusieurs jours laisse le temps d’alerter le service destinataire (leçon 5.4).
4. Distinguez les passages prouvés des passages déduits dans chaque compte rendu intermédiaire, car les premiers comptes rendus sont souvent ceux qui sont communiqués ultérieurement.

Points clés pour l’examen : pourquoi les délinquants passent d’une chaîne à l’autre (rompre le graphe, quitter les actifs susceptibles d’être gelés, accéder à la liquidité, fragmenter les compétences juridictionnelles, accéder aux systèmes de confidentialité) et pourquoi un passage ne constitue pas à lui seul une preuve d’infraction ; les signaux d’alerte du GAFI de 2020 concernant l’utilisation de plusieurs types d’actifs et les conversions sans finalité commerciale ; les séquences typiques et les schémas Ronin et Bybit ; les événements Deposit et Withdrawal de WETH, les jetons enveloppés émis par des dépositaires et l’identification des jetons par adresse de contrat ; les liens déterministes, consignés par le protocole et probabilistes, leurs notes et la règle du maillon le plus faible ; la lecture de l’événement source avant le rapprochement par montant ; les passages par des services dépositaires mettant fin à la piste sur la chaîne ; la définition des fenêtres temporelles et des fourchettes de montants à partir du mécanisme et des frais ; l’exemple détaillé de rapprochement par montant et par temps ; la taille de l’ensemble des candidats, le taux de correspondance fortuite, la sensibilité et la corroboration ; le contenu d’un enregistrement de passage ; les demandes de préservation en parallèle.