Restitution aux victimes et voies civiles

La saisie des fonds ne constitue que la moitié du recouvrement des avoirs ; l’autre moitié consiste à les remettre aux personnes qui les ont perdus. Dans les affaires d’escroquerie et de vol, les victimes peuvent se compter par milliers, vivre dans des dizaines de pays et ne disposer que de justificatifs limités des sommes envoyées, tandis que des fraudeurs les ciblent une seconde fois avec de fausses offres de recouvrement. Cette leçon explique comment les enquêteurs identifient les victimes, vérifient les demandes, appuient les procédures civiles et d’insolvabilité, protègent les victimes contre les escroqueries au recouvrement et restituent les avoirs par-delà les frontières.

Identifier les victimes

Les victimes ne se manifestent pas toujours, et celles qui le font ne sont pas nécessairement les seules. Les enquêteurs combinent quatre sources.

La source sur la blockchain est la plus complète. Une fois les adresses de dépôt du dispositif frauduleux établies (voir la leçon De l’adresse à l’entité, puis à la personne : attribution et étiquetage), chaque transfert entrant constitue un paiement potentiel d’une victime.

-- Paiements potentiels de victimes vers les adresses de dépôt du dispositif frauduleux
SELECT t.from_address,
       COUNT(*)              AS payments,
       SUM(t.amount_raw)     AS total_sent_raw,
       MIN(t.block_timestamp) AS first_payment,
       MAX(t.block_timestamp) AS last_payment,
       l.category            AS sender_label   -- p. ex. plateforme d’échange, inconnu
FROM token_transfers t
JOIN scheme_addresses s ON s.address = t.to_address
LEFT JOIN labels l      ON l.address = t.from_address
WHERE t.from_address NOT IN (SELECT address FROM scheme_addresses)
GROUP BY t.from_address, l.category
ORDER BY total_sent_raw DESC;

La requête répertorie tous les expéditeurs vers le dispositif frauduleux, en excluant les propres adresses de celui-ci afin que les transferts internes ne soient pas comptabilisés comme des paiements de victimes. Les expéditeurs étiquetés comme plateformes d’échange renvoient à des clients que la plateforme d’échange peut identifier dans le cadre d’une procédure légale ; les expéditeurs sans étiquette sont probablement des portefeuilles autohébergés dont les propriétaires pourront se manifester. Le résultat est une liste d’adresses et de montants, et non de personnes : chaque ligne nécessite encore un demandeur et des preuves. Consignez la source et la version des étiquettes, car elles évoluent (voir la leçon Les sources d’attribution et leur fiabilité).

Vérifier les demandes

Une demande est l’affirmation selon laquelle une personne contrôlait une adresse ou un compte d’envoi et a perdu un montant déclaré. La vérification porte sur chaque élément.

1. La transaction existe, avec le txid, le montant, le jeton et l’heure déclarés, et elle a atteint une adresse du dispositif frauduleux.
2. Le demandeur contrôlait l’expéditeur. La preuve consiste en un relevé de plateforme d’échange montrant le retrait vers l’adresse du dispositif frauduleux, ou en un message signé avec la clé de l’adresse d’envoi. Une capture d’écran d’une application de portefeuille constitue, à elle seule, une preuve faible.
3. La demande ne fait pas double emploi. Un même txid revendiqué deux fois, par une seule personne ou par deux personnes, est détecté en recoupant les demandes.
4. Le demandeur ne fait pas partie du dispositif frauduleux. Les adresses qui ont également reçu des versements du dispositif frauduleux, ou qui ont financé son infrastructure, nécessitent un examen plus approfondi : des membres du dispositif se font parfois passer pour des victimes, et les premiers participants à un système de type Ponzi peuvent avoir reçu davantage que leur mise.
5. La perte nette est calculée. Il s’agit des paiements effectués, déduction faite de tout versement reçu du dispositif frauduleux.

Chaque demande aboutit à un statut consigné (vérifiée, partiellement vérifiée, rejetée), accompagné de motifs, afin que la répartition puisse être justifiée et contestée. L’examinateur qui a retracé le dispositif frauduleux est bien placé pour effectuer les vérifications sur la blockchain, mais la décision quant au droit à restitution appartient au tribunal ou à l’administrateur.

Répartir les avoirs lorsqu’ils sont insuffisants

Les avoirs recouvrés couvrent rarement toutes les pertes. Supposons qu’une autorité recouvre 1 200 000 USDT et que les pertes nettes vérifiées totalisent 3 000 000 USDT. Une répartition au prorata accorde à chaque victime 40 % de sa perte : une victime ayant perdu 50 000 USDT reçoit 20 000. La répartition au prorata est courante lorsque les fonds des victimes ont été regroupés dans les mêmes adresses, car le traçage ne permet pas d’affirmer avec certitude à qui appartiennent les unités de cryptomonnaie restantes. Lorsque les fonds d’une victime peuvent être retracés séparément jusqu’à un solde saisi précis, certains systèmes lui reconnaissent un droit prioritaire sur ce solde. La règle applicable est une question juridique ; l’examinateur présente les faits retracés selon la méthode de traçage indiquée (voir la leçon Les méthodes de traçage et leurs conséquences), afin que l’une ou l’autre règle puisse être appliquée. Les coûts de conservation et de répartition, ainsi que leur éventuelle déduction, doivent apparaître dans les chiffres.

Voies civiles et procédures d’insolvabilité

La confiscation pénale n’est pas la seule voie. Les victimes et leurs avocats, ainsi que les administrateurs de plateformes défaillantes, cherchent à recouvrer des avoirs devant les juridictions civiles, souvent en parallèle d’une procédure pénale. Les outils varient selon les pays, mais la plupart des systèmes proposent une forme des mécanismes suivants :

• Ordonnances de gel visant les avoirs d’un défendeur, dans certains systèmes même à l’encontre de personnes non encore identifiées, utilisées pour les cryptoactifs volés détenus sur des plateformes d’échange.
• Ordonnances de divulgation visant des tiers, comme une plateforme d’échange ayant reçu les fonds, afin d’obtenir les informations sur le titulaire du compte.
• Actions en revendication de propriété portant sur des avoirs précis retracés, qui peuvent primer sur les droits d’autres créanciers si le défendeur est insolvable.
• Procédures d’insolvabilité, dans lesquelles un liquidateur ou un administrateur de la plateforme défaillante retrace et recouvre les avoirs pour l’ensemble des créanciers, en évaluant généralement les créances en cryptoactifs en monnaie fiduciaire à une date de référence.

Certains tribunaux ont autorisé la signification d’actes par l’envoi d’un jeton à l’adresse du défendeur lorsqu’aucun autre moyen de contact n’existe. Pour l’examinateur en criminalistique numérique, le travail au civil exige le même niveau de rigueur que le travail au pénal : le même traçage documenté, la même notation des liens de A à D et la même discipline de rédaction du rapport (voir la leçon Rédiger le rapport d’expertise : degré de confiance et formulation). Deux précautions s’imposent. Une action civile ne doit pas alerter les suspects dans une enquête pénale en cours ; la coordination avec le ministère public est donc importante. En outre, les éléments de preuve obtenus dans une procédure ne peuvent généralement être utilisés dans une autre que conformément aux règles qui la régissent.

Coopération avec les plateformes d’échange et les émetteurs

Les plateformes d’échange et les émetteurs de stablecoins sont des partenaires fréquents dans la restitution aux victimes, comme le décrit la leçon IDFE-CC Gel, demandes des forces de l’ordre et recouvrement des avoirs. Trois pratiques aident les enquêteurs : adresser aux prestataires des demandes précises et vérifiables, liées aux montants retracés ; leur indiquer quand les blocages peuvent être levés, afin que les avoirs de clients innocents ne restent pas gelés indéfiniment ; et convenir des modalités de transfert des soldes gelés une fois une ordonnance rendue, notamment de la destruction et de la réémission des stablecoins par l’émetteur. Certaines plateformes d’échange hébergent également les comptes des victimes elles-mêmes, ce qui simplifie la preuve de propriété et le versement.

Escroqueries au recouvrement

Les victimes de fraude aux cryptoactifs sont des cibles privilégiées des escroqueries au recouvrement : des fraudeurs se font passer pour des enquêteurs, des avocats, des régulateurs ou des « spécialistes du recouvrement sur la blockchain » et promettent de récupérer les fonds perdus moyennant des frais préalables. Ils trouvent les victimes grâce aux publications sur les réseaux sociaux, aux forums de plaintes et aux listes de clients divulguées du dispositif frauduleux initial ; certaines de ces escroqueries sont orchestrées par les mêmes groupes. Signes courants :

• une récupération garantie, ou l’affirmation que les fonds ont déjà été « retrouvés » ;
• des frais préalables, une « taxe » ou des « frais de déblocage » avant que les fonds puissent être restitués ;
• une demande de phrase de récupération de la victime ou d’accès à distance à son appareil ;
• la prétention de disposer de pouvoirs particuliers pour « contre-pirater » ou annuler des transactions sur la blockchain ;
• de fausses ordonnances judiciaires, de faux courriers de police ou des logos d’apparence officielle ;
• un contact depuis un compte de messagerie personnel plutôt que par un canal officiel.

Les enquêteurs avertissent les victimes par écrit dès le premier contact : l’autorité ne facturera jamais de frais et ne demandera jamais de phrase de récupération, et tous les contacts passeront par un agent nommément désigné ou un portail officiel. Ils fournissent aux victimes un point de contact unique et vérifiable. Les signalements d’escroqueries au recouvrement constituent de nouvelles infractions, et leurs adresses de paiement sont de nouvelles pistes.

Restituer des avoirs par-delà les frontières

Lorsque les victimes sont à l’étranger, ou que les avoirs ont été confisqués dans un autre pays, la restitution passe par les canaux de coopération internationale. La Recommandation 38 prévoit que les pays disposent de mécanismes de coordination des saisies et des confiscations, ainsi que de partage des avoirs confisqués. La Convention des Nations Unies contre la corruption prévoit la restitution des avoirs à l’article 57, et la Convention des Nations Unies contre la cybercriminalité traite de la restitution et de la disposition du produit confisqué à l’article 52, notamment de la restitution des biens à leurs propriétaires légitimes et de l’indemnisation des victimes. Les traités fixent le cadre ; le travail pratique réside dans le versement :

Points clés pour l’examen : les quatre sources permettant d’identifier les victimes et leurs limites ; le recensement des transferts entrants vers un dispositif frauduleux en excluant ses propres adresses ; les cinq vérifications d’une demande, notamment la preuve de contrôle et les membres du dispositif se faisant passer pour des victimes ; le calcul d’une répartition au prorata et les raisons pour lesquelles les fonds regroupés sont souvent partagés au prorata ; les grandes lignes des voies civiles de gel, de divulgation, de revendication de propriété et d’insolvabilité, ainsi que leur coordination avec une procédure pénale ; les signes d’escroqueries au recouvrement et la manière dont les enquêteurs avertissent les victimes ; la restitution transfrontalière dans le cadre de la Recommandation 38 et des conventions des Nations Unies, ainsi que la vérification des adresses de versement.