Les sources d’attribution et leur fiabilité

Toute attribution dans un rapport d’expertise forensique repose sur une source, et la défense posera des questions sur chacune d’elles : d’où vient cette étiquette, quand était-elle exacte, qui l’a vérifiée et pourrait-elle avoir été copiée ailleurs ? Les sources vont des documents produits par un service dans le cadre d’une procédure légale à une étiquette inexpliquée sur un explorateur public. Cette leçon présente les principales familles de sources d’attribution, leur fiabilité habituelle et une méthode pour les évaluer, les dater et les concilier, en s’appuyant sur les sources d’étiquettes et les niveaux de solidité des liens décrits dans la leçon De l’adresse à l’entité puis à la personne : attribution et étiquetage.

Vue d’ensemble des familles de sources

Ce tableau constitue un point de départ. Une liste publiée par une prétendue entité sur un domaine usurpé ne vaut rien ; une étiquette communautaire dont vous retrouvez l’origine dans un document judiciaire constitue une source solide. Évaluez l’élément précis, et non la famille.

Documents des services et des émetteurs

Les plateformes d'échange, les dépositaires et les émetteurs de stablecoins détiennent les documents qui relient le niveau du service à celui du titulaire du compte (voir la leçon De l’adresse à l’entité puis à la personne : attribution et étiquetage). Les documents produits en réponse à une demande dans le cadre d’une procédure légale sont généralement la source d’attribution la plus solide dans une affaire, mais ils doivent néanmoins être examinés :

• Authentifiez les éléments transmis : qui les a produits, par quel canal, avec quelle déclaration d’accompagnement, et quelle est l’empreinte de chaque fichier à réception (voir la leçon Calcul d’empreintes, journalisation, chaîne de conservation et gestion de la qualité).
• Vérifiez le périmètre : la période, le compte et l’actif correspondent-ils à la demande ?
• Rapprochez les données de la blockchain : chaque dépôt et chaque retrait figurant dans les documents doivent correspondre à une transaction que vous pouvez vérifier sur un nœud, avec le même montant et un horaire plausible. Les écarts révèlent des transferts internes, des mouvements comptables hors chaîne ou des erreurs (voir la leçon Les comptes de plateformes d'échange et de services cloud comme éléments de preuve).
• Rappelez-vous ce qu’est le KYC : les documents qu’un client a soumis, vérifiés selon les normes du service à l’époque.

Un émetteur de stablecoins peut également confirmer qu’il a gelé une adresse et à quel moment ; ses documents relatifs au gel constituent des sources primaires.

Bases de données saisies

Les démantèlements de marchés du darknet, de mixeurs dépositaires et de plateformes d'échange illicites permettent souvent d’obtenir des images de serveurs contenant des comptes utilisateurs, des adresses de dépôt et des journaux de transferts internes. Ces données peuvent permettre d’attribuer des milliers d’adresses à la fois et sont souvent partagées entre autorités par les canaux de coopération policière (voir la leçon Mixeurs dépositaires).

Traitez une base de données saisie comme un élément de preuve ayant sa propre provenance. L’examinateur qui s’y appuie doit disposer de la chaîne de conservation de l’autorité ayant effectué la saisie, de l’empreinte de l’image et d’une compréhension du schéma : quelle colonne contient l’adresse de dépôt, quel fuseau horaire les horodatages utilisent, si les lignes comprennent des comptes de test, des commandes annulées ou des adresses générées mais jamais utilisées. Une adresse de dépôt générée pour un utilisateur, mais n’ayant jamais reçu de fonds, ne prouve rien quant à un transfert de valeur. Validez un échantillon de lignes par rapport à la blockchain avant de vous appuyer sur le reste.

Données issues de fuites : limites juridiques et éthiques

Des bases de données clients compromises et d’autres extractions de données circulent sur des forums et sont parfois proposées aux enquêteurs. Elles sont tentantes, car elles peuvent relier des adresses ou des adresses électroniques à des noms. Elles présentent aussi des risques :

• Légalité : la possession ou le traitement de données personnelles volées peut en soi être illicite, et les règles varient considérablement selon les juridictions. Leur utilisation exige une base juridique claire et une politique organisationnelle écrite, définie par des conseillers juridiques, et non par l’examinateur.
• Authenticité : les extractions sont souvent recompilées, fusionnées avec des données provenant de violations plus anciennes ou partiellement fabriquées.
• Protection des données : les données concernent de nombreuses personnes sans lien avec l’affaire. Les principes de proportionnalité et de minimisation s’appliquent (voir la leçon Éthique, vie privée, protection des données et sécurité de l’enquêteur).
• Communication des pièces et équité : des éléments qui ne peuvent pas être communiqués ou authentifiés peuvent fragiliser une affaire.

Lorsque leur utilisation est autorisée, un enregistrement issu d’une fuite constitue tout au plus une piste de renseignement, classée au bas de l’échelle, et le fait doit être établi de nouveau au moyen d’une source licite, généralement par une demande adressée au service dont les données ont fuité.

Étiquettes commerciales et communautaires

Les outils d’analyse intègrent de vastes ensembles propriétaires d’étiquettes. Celles-ci sont souvent bien documentées, mais la méthode sous-jacente à une étiquette donnée est rarement visible, et les étiquettes changent d’une version à l’autre sans préavis. Pour un usage forensique :

1. Consignez l’outil, la version, le texte de l’étiquette, la catégorie ainsi que la date et l’heure de consultation, et effectuez une capture d’écran ou un export (voir la leçon Outils, reproductibilité et validation).
2. Demandez le fondement de toute étiquette dont dépend une constatation : transaction de test, publication publique, documents, extension heuristique.
3. Corroborez de manière indépendante les étiquettes déterminantes pour la décision, par exemple avec votre propre dépôt de test, une liste publiée par l’entité elle-même ou la confirmation du service.

Les étiquettes communautaires, telles que les étiquettes publiques d’explorateurs, les jeux de données ouverts et les signalements d’escroqueries soumis par des utilisateurs, n’offrent aucune garantie. Des signalements d’escroqueries peuvent être déposés de manière malveillante contre des adresses innocentes. Utilisez-les pour formuler des hypothèses, puis remontez à l’origine de chacune ; les copies d’une même source d’origine ne comptent qu’une fois (la leçon De l’adresse à l’entité puis à la personne : attribution et étiquetage appelle cela la diffusion circulaire d’informations).

Évaluer séparément la source et l’information

Les pratiques du renseignement évaluent deux aspects indépendamment : la fiabilité de la source et la crédibilité de l’élément d’information précis. Le système « Admiralty » de l’OTAN utilise les lettres A à F pour la fiabilité de la source (de totalement fiable à impossible à évaluer) et les chiffres 1 à 6 pour la crédibilité de l’information (de confirmée par d’autres sources à impossible à évaluer). De nombreux organismes chargés de l’application de la loi, dont Europol, utilisent une version quatre par quatre : sources A, B, C ou X (impossible à évaluer) et informations 1 à 4, allant d’une information dont l’exactitude ne fait aucun doute à une information dont la source n’a pas personnellement connaissance et qui ne peut pas être corroborée.

Cette approche à deux axes convient bien à l’attribution. Une source fiable peut transmettre un élément dont elle n’a pas une connaissance directe ; un utilisateur de forum inconnu peut publier une adresse que la blockchain permet ensuite de corroborer. Voici un exemple de correspondance 6x6 :

Consignez les deux codes pour chaque étiquette dans le journal d’attribution de l’affaire, à côté du niveau A–D de solidité du lien (voir la leçon De l’adresse à l’entité puis à la personne : attribution et étiquetage). Les deux échelles sont distinctes : une source codée A ici ne confère pas au lien le niveau A.

Vérifier, dater et concilier les étiquettes

Chaque étiquette est exacte pour une période donnée. Voici une procédure pratique de vérification :

1. Remontez à l’origine. Retrouvez la première publication ou le premier document, et non la copie que vous avez vue.
2. Conservez et datez l’élément. Archivez la page ou le document avec son URL, l’heure de capture en UTC et son empreinte (voir la leçon OSINT et mise en relation des identifiants sur chaîne et hors chaîne).
3. Vérifiez la période d’activité. L’activité sur chaîne de l’adresse correspond-elle au rôle allégué pendant cette période ? Une adresse étiquetée comme portefeuille chaud d’une plateforme d'échange qui a cessé tout mouvement en 2021 ne permet de rien conclure sur des dépôts de 2026.
4. Vérifiez le comportement. L’adresse se comporte-t-elle conformément à sa catégorie : regroupements de fonds pour les dépôts, forte dispersion des envois pour les portefeuilles chauds, code de contrat pour un pont ?
5. Recherchez une deuxième source indépendante pour toute étiquette dont dépend une constatation.

Lorsque les sources divergent, ne faites pas de moyenne :

Conservez l’étiquette écartée dans le journal, avec la raison de sa mise à l’écart. Les divergences entre sources sont précisément ce que recherchent les experts de la défense, et montrer que vous les avez repérées et résolues est plus convaincant que de donner l’impression de ne jamais les avoir remarquées (voir la leçon Communication des pièces et examen critique par la défense).

Points clés pour l'examen : les principales familles de sources, leurs forces et leurs risques, et la manière de vérifier chacune ; authentifier les documents des services, vérifier leur périmètre et les rapprocher de la blockchain ; valider les bases de données saisies (provenance, schéma, fuseaux horaires, adresses n’ayant jamais reçu de fonds) ; limites juridiques, d’authenticité et de protection des données applicables aux données issues de fuites, et établissement renouvelé des faits au moyen de sources licites ; consigner les étiquettes commerciales et en demander le fondement ; diffusion circulaire d’informations ; évaluation à deux axes de la source et de l’information (versions 6x6 du système Admiralty de l’OTAN et 4x4 des organismes chargés de l’application de la loi) ; dater les étiquettes en fonction des périodes d’activité ; résoudre les conflits entre sources et conserver les motifs.