Perquisition et saisie de crypto-actifs sur les lieux

Une perquisition dans une affaire liée aux crypto-actifs fait tourner deux horloges à la fois. La première est l’horloge probatoire habituelle : préserver les appareils et les données afin que les constatations puissent être défendues par la suite. La seconde est l’horloge des actifs : toute autre personne disposant d’une copie d’une phrase de récupération peut déplacer les fonds en quelques minutes, où qu’elle se trouve. Cette leçon explique comment planifier la perquisition, prendre des décisions entre acquisition en direct et acquisition à froid, traiter les portefeuilles matériels et les sauvegardes de phrases de récupération, demander l’accès de manière légale et documenter les lieux afin de respecter ces deux horloges.

Planification avant l’entrée

La plupart des échecs sur les lieux découlent d’une mauvaise planification. Avant d’entrer, l’équipe doit savoir ce qu’elle s’attend à trouver, ce qu’elle est autorisée à faire et qui prend les décisions en cas d’imprévu.

Le portefeuille de l’agence et la procédure de transfert doivent faire partie du plan, et non être improvisés à la table de la cuisine ; la leçon Sécurisation des crypto-actifs saisis explique comment les préparer.

Décisions entre acquisition en direct et acquisition à froid

Une acquisition à froid examine un appareil hors tension. Une acquisition en direct recueille des données à partir d’un système en cours d’exécution. Le choix suit l’ordre de volatilité défini dans la RFC 3227, Guidelines for Evidence Collection and Archiving : recueillir d’abord les données les plus éphémères, comme la mémoire, l’état du réseau et les processus en cours, avant les données du disque. Dans les affaires liées aux crypto-actifs, les données volatiles peuvent être déterminantes, car un portefeuille en cours d’exécution peut conserver des clés déchiffrées en mémoire et le chiffrement intégral du disque peut rendre le disque hors tension illisible.

Deux remarques concernant les appareils mobiles proviennent du document de SWGDE Best Practices for Mobile Device Evidence Collection & Preservation, Handling, and Acquisition (version 2.0, 2025). Le mode avion peut laisser le Wi-Fi ou le Bluetooth actifs ; il faut donc confirmer l’isolation ou utiliser un dispositif de protection. De plus, un redémarrage peut faire passer un téléphone de l’état après le premier déverrouillage (AFU) à l’état avant le premier déverrouillage (BFU), dans lequel beaucoup plus de données sont chiffrées et peuvent devenir irrécupérables ; une alimentation externe stable est donc importante.

Toute intervention en direct modifie le système. La norme ISO/IEC 27037 l’accepte lorsque cela se justifie, à condition que l’examinateur réduise les modifications au minimum et consigne chaque intervention, avec son heure et sa raison. Un journal des interventions en direct est donc obligatoire, et non facultatif.

Données volatiles importantes dans les affaires liées aux crypto-actifs

Lorsqu’un système est en cours d’exécution, les éléments suivants peuvent être perdus à l’arrêt ou au verrouillage :

• Mémoire : clés de portefeuille ou phrases de récupération déchiffrées conservées par les logiciels de portefeuille en cours d’exécution, mots de passe, contenu du presse-papiers (souvent une adresse qui vient d’être copiée).
• Sessions ouvertes : comptes de plateformes d’échange connectés, portefeuilles d’extensions de navigateur déverrouillés, webmail affichant des notifications de plateformes d’échange.
• État de l’écran : soldes, adresses et historiques de transactions affichés dans un portefeuille ouvert.
• État du réseau : connexions aux serveurs de portefeuille, aux pairs d’un nœud, aux bureaux à distance ou à d’autres machines contrôlées par le sujet.
• Codes d’authentification à deux facteurs dans les applications d’authentification d’un téléphone déverrouillé.

Documenter ce qu’affiche un portefeuille ouvert, par photographie ou enregistrement d’écran, est très différent de l’utiliser. L’examinateur consigne ce qui est affiché ; tout transfert de fonds n’a lieu que conformément au plan et à l’autorisation, avec les contrôles décrits ci-dessous.

Un exemple public montre pourquoi il est important de planifier en fonction de l’état en direct. Lors de l’arrestation de Silk Road en 2013, les enquêteurs ont organisé l’arrestation de façon à saisir l’ordinateur portable de l’opérateur alors qu’il était allumé et connecté, préservant ainsi l’accès à des données que le chiffrement aurait autrement protégées.

Portefeuilles matériels et sauvegardes de phrases de récupération

Un portefeuille matériel est conçu précisément pour résister à ce qu’un curieux pourrait tenter lors d’une perquisition. De nombreux appareils s’effacent après un petit nombre de codes PIN erronés ; personne sur les lieux ne doit donc essayer un code PIN, y compris un code inscrit sur une note trouvée à proximité. Il faut consigner la note et la saisir. Saisir l’appareil avec son câble, sa boîte et toute carte de récupération.

L’appareil est souvent moins important que sa sauvegarde de phrase de récupération, car celle-ci permet de restaurer le portefeuille sans l’appareil. La rechercher comme indiqué dans la leçon Portefeuilles sur les appareils saisis. Lorsqu’une sauvegarde est trouvée :

1. la photographier sur place avec un appareil photo de l’agence, jamais avec un téléphone personnel ;
2. classer les photos comme du matériel contenant des clés et limiter les personnes autorisées à les consulter ;
3. sceller la sauvegarde dans un sac inviolable sans la recopier sur les lieux, sauf si le plan prévoit un transfert immédiat ;
4. consigner la découverte, le numéro du scellé et chaque personne ayant vu les mots.

Toute personne qui voit une phrase de récupération pourrait déplacer les fonds ultérieurement ; en limiter l’exposition protège donc à la fois les actifs et les agents contre d’éventuelles allégations ultérieures.

Demande d’accès en vertu d’une autorisation légale

Les personnes présentes sur les lieux peuvent fournir des codes PIN, des mots de passe, des phrases secrètes ou l’emplacement de sauvegardes. La possibilité d’exiger ces informations d’une personne et les protections applicables contre l’auto-incrimination varient selon les juridictions ; l’équipe doit connaître la règle applicable avant d’entrer. Quelle que soit cette règle, trois pratiques sont communes aux enquêtes de qualité :

• Consigner exactement les questions posées, les réponses données et les éléments fournis, avec les heures correspondantes.
• Ne pas laisser le sujet utiliser un appareil. Un utilisateur peut saisir un code PIN de contrainte, déclencher un effacement ou ouvrir un portefeuille leurre avec une autre phrase secrète tout en donnant l’impression de coopérer.
• Vérifier, ne pas faire confiance. Une phrase secrète qui ouvre un portefeuille avec un petit solde ne prouve pas qu’il n’existe pas d’autre portefeuille protégé par une phrase secrète derrière les mêmes mots.

Les questions sur les comptes, les plateformes d’échange et les autres appareils sont aussi utiles que les mots de passe : une réponse qui nomme une plateforme d’échange peut donner lieu à une demande de gel en quelques minutes.

Sécurisation des fonds et documentation des lieux

La possession d’une phrase de récupération ne met pas les fonds en sécurité, car un associé peut en détenir une copie. Lorsque l’autorisation le permet et que le plan le prévoit, les fonds sont rapidement transférés vers un portefeuille contrôlé par l’agence, sous contrôle conjoint, avec une transaction test, comme indiqué dans la leçon Sécurisation des crypto-actifs saisis. Les soldes détenus auprès de services dépositaires sont plutôt protégés par des demandes immédiates de gel ou de préservation.

La documentation des lieux relie tous les éléments : photos et vidéos prises avant tout déplacement, croquis, registre des pièces à conviction et journal des interventions en direct. Chaque intervention en direct est consignée selon la même structure :

{
  "case": "CASE-0417",
  "action_id": "LA-006",
  "time_utc": "2026-03-14T07:18:40Z",
  "device": "CASE-0417-I-003 ordinateur portable, allumé, déverrouillé",
  "action": "Vidéo de l’écran du portefeuille de bureau ouvert ; aucun clic sur Envoyer ou Paramètres",
  "reason": "Soldes et adresses affichés, perdus au verrouillage ou à l’arrêt",
  "performed_by": "Examinateur 1",
  "witness": "Examinateur 2",
  "output": "VID_0009.mp4, SHA-256 3c7e…b1d9",
  "system_changes": "Souris déplacée pour empêcher la mise en veille"
}

Le registre identifie l’appareil et son état, les actions effectuées et celles délibérément omises, la raison pour laquelle l’intervention était nécessaire, les personnes qui l’ont effectuée et observée, le fichier produit avec son empreinte, ainsi que les modifications apportées au système par l’intervention. Un expert de la défense qui l’examinera ultérieurement pourra constater que l’étape en direct était justifiée et contrôlée. Le calcul des empreintes et la chaîne de possession des éléments produits se poursuivent comme indiqué dans la leçon Calcul des empreintes, consignation et chaîne de possession.

Points clés pour l’examen : les deux horloges (préservation des preuves et déplacement des actifs) et les éléments de planification qui les servent, notamment la portée de l’autorisation, les spécialistes, le matériel et un portefeuille de l’agence préparé à l’avance ; les décisions entre acquisition en direct et acquisition à froid et l’ordre de volatilité (RFC 3227) ; l’isolation des appareils mobiles, l’alimentation externe et les états AFU et BFU ; les données volatiles pertinentes pour les crypto-actifs (mémoire, sessions ouvertes, écrans, presse-papiers, codes d’authentification à deux facteurs) ; ne jamais saisir de code PIN sur un portefeuille matériel ; traiter les sauvegardes de phrases de récupération et leurs photos comme du matériel contenant des clés ; consigner et vérifier les informations d’accès sans laisser le sujet utiliser les appareils ; transfert rapide vers un portefeuille de l’agence sous contrôle conjoint, consigné dans le journal des interventions en direct.