Étude de cas : du vol au recouvrement

Cette étude de synthèse suit un cas fictif, de la première alerte au retour des fonds, en abordant tous les modules du cours. À chaque étape, demandez-vous de quelle leçon provient l’action et quelle trace elle laisse. Tous les noms, adresses et chiffres sont inventés, et les chiffres s’équilibrent : le cas sert donc aussi d’exercice de rapprochement (les frais de réseau autres que les coûts du swap sur la chaîne B sont ignorés).

Le cas en un coup d’œil

À 02:10 UTC le 14 mars 2026, un attaquant ayant compromis un ordinateur portable de signature chez Nordhaven Exchange (pays A) a vidé trois portefeuilles chauds. Les cours à ce moment-là étaient de 2 500 USD pour l’ETH et de 80 000 USD pour le BTC.

Autres parties : Brightwater OTC, courtier enregistré dans le pays B ; Lumen Exchange, dans le pays C ; un émetteur de stablecoin ; un mixeur de contrats intelligents avec des pools fixes de 100 ETH ; et un pont lock-and-mint vers la chaîne B, un rollup EVM.

Première heure : prise en charge, préservation et premier gel

Le système de surveillance de Nordhaven a donné l’alerte à 02:31 ; le responsable de l’incident a appelé l’unité de cybercriminalité de la police à 02:40. L’enquêteur de permanence a ouvert un dossier et consigné les informations reçues (voir la leçon Le cycle de vie d’une enquête) : les éléments de départ étaient trois identifiants de transactions de vol (txid), les adresses de l’attaquant sur deux chaînes et les montants par actif. Il a été demandé aux ingénieurs de Nordhaven de ne pas effacer l’ordinateur portable compromis ; celui-ci a été imagé, et le hachage de l’image a été consigné avant l’analyse (voir la leçon Hachage, journalisation et chaîne de conservation).

À 02:48, l’attaquant a échangé 1 500 000 USDT contre 600 ETH sur une plateforme d’échange décentralisée. Les 2 500 000 USDT restants se trouvaient à une adresse ; l’enquêteur a donc envoyé la demande urgente de gel présentée dans la leçon Options de gel et de saisie ; l’émetteur a bloqué l’adresse à 03:05. À 03:30, des indicateurs avaient été diffusés par les canaux de coopération entre services de police et par un réseau d’alerte sectoriel.

Nordhaven a proposé de publier un message sur la chaîne pour offrir une prime à l’attaquant. L’enquêteur lui a demandé d’attendre que l’équipe chargée de l’affaire se soit mise d’accord sur la formulation, afin que le message ne révèle pas ce que les enquêteurs savaient (voir la leçon Éthique, vie privée et sécurité des enquêteurs).

Jours 1 à 12 : retracer la répartition

L’attaquant détenait désormais 3 000 ETH (2 400 volés et 600 issus du swap) et 50 BTC, qu’il a répartis. L’équipe a évalué chaque lien (voir la leçon Établir une traçabilité selon une norme probatoire).

L’étape du pont a suivi la leçon Ponts : lock-and-mint, burn-and-release et ponts de liquidité : les deux txid, l’identifiant de message et le montant concordant ont été consignés dans la piste de traçabilité. L’étape du mixeur a suivi la leçon Mixeurs de contrats intelligents : le lien avec l’approvisionnement en gas a été consigné comme une inférence, avec ses fondements et ses limites. Un deuxième examinateur a repris chaque traçage à partir des données des nœuds ; les versions des outils et les instantanés des étiquettes ont été consignés (voir les leçons Outils, reproductibilité et validation et Préservation des preuves sur la chaîne).

Du service d’encaissement au suspect

L’attribution à Brightwater reposait sur deux sources : ses propres instructions de dépôt publiées et une étiquette figurant dans deux jeux de données indépendants, qui ont été vérifiés et datés (voir la leçon Sources d’attribution et fiabilité). En tant que prestataire enregistré dans le pays B, Brightwater pouvait être prié de préserver immédiatement ses dossiers par l’intermédiaire de la police et des cellules de renseignement financier, puis faire l’objet d’une demande d’entraide judiciaire du pays A (voir les leçons Autorité légale et coopération internationale et Collaborer avec les prestataires de services). Les pays A et B ont mis en place une équipe commune d’enquête.

Les dossiers de Brightwater montraient que la totalité des 4 980 000 USDC et les quatre retraits du mixeur (400 ETH, soit 1 000 000 USD au cours de 2 500 USD) avaient été crédités sur un compte professionnel dont le directeur est désigné ici comme Suspect 1. Brightwater avait déjà versé 2 980 000 USD (1 980 000 pour les USDC et 1 000 000 pour les ETH) sur un compte bancaire dans le pays B ; 3 000 000 USDC se trouvaient encore sur le compte. Les dossiers ont corroboré indépendamment l’inférence liée au mixeur, dont le niveau est passé de D à B ; l’historique des niveaux a été conservé.

Les dossiers de Lumen montraient que les six dépôts avaient été versés sur des comptes ouverts par trois mules financières, faisant passer l’étiquette Lumen au niveau B. Les identifiants des appareils utilisés pour se connecter à ces comptes correspondaient à un appareil qui s’était connecté au compte Brightwater de Suspect 1 (voir la leçon Relier les identifiants sur la chaîne et hors chaîne). La chaîne d’attribution suivait la séquence adresse → cluster → service → compte → personne, chaque niveau reposant sur ses propres éléments de preuve (voir la leçon De l’adresse à l’entité, puis à la personne).

Le 4 avril, des agents du pays B ont perquisitionné le domicile de Suspect 1 en vertu d’un mandat. Les examinateurs ont trouvé une photo d’une phrase de récupération dans une sauvegarde de l’application de notes du téléphone (voir les leçons Portefeuilles sur des appareils saisis et Acquisition et analyse d’appareils). Rétablie sur un appareil d’examinateur isolé, en vertu d’une autorisation légale, elle a permis de retrouver bc1q…9tm4 (voir la leçon Récupération de portefeuille en vertu d’une autorisation légale). Les 18 BTC ont été transférés vers un portefeuille sécurisé le même matin ; le relevé de transfert présenté dans la leçon Sécurisation des cryptoactifs saisis correspond à ce transfert.

Gels et saisies

Le compte bancaire avait été ouvert deux semaines avant le vol et n’avait reçu aucun autre fonds ; aucune méthode d’allocation n’était donc nécessaire. Le rapport le précisait explicitement au lieu de laisser la question ouverte (voir la leçon Méthodes de traçage et leurs conséquences). Chaque saisie a été évaluée au moment du transfert, en indiquant la source du cours (voir la leçon Gestion et réalisation des actifs saisis). Nordhaven a demandé le retour des bitcoins en nature ; aucune vente provisoire n’a donc été sollicitée.

Le rapport et le témoignage

Le rapport de l’examinateur principal suivait la structure de la leçon Rédiger le rapport d’expertise : mandat, éléments examinés (avec les valeurs de hachage de chaque réponse des prestataires et de chaque image), méthodes, constatations pour chaque lien avec les niveaux de confiance, limites et annexes contenant les tableaux de txid. Un organigramme présentait les montants retracés, inférés et non retracés au moyen de différents styles de ligne (voir la leçon Éléments visuels pour les tribunaux). Avant le procès, les éléments non utilisés, notamment les sources des étiquettes et les recherches publiées sur les taux d’erreur de l’heuristique du mixeur, ont été communiqués (voir la leçon Communication des éléments et examen par la défense).

Lors du contre-interrogatoire, l’avocat de la défense a fait valoir à l’examinateur que les heuristiques de mixeur ne sont pas fiables. L’examinateur a reconnu que le seul schéma d’approvisionnement en gas ne constituait qu’une inférence (niveau D), a souligné que la corroboration indépendante figurant dans les dossiers de Brightwater l’avait fait passer au niveau B et a précisé que le lien concernait 1 000 000 USD sur les 14 000 000 USD, et qu’aucun autre lien n’en dépendait (voir la leçon Témoignage et contre-interrogatoire). Reconnaître cette limite a renforcé la crédibilité du reste des éléments de preuve.

Retour des fonds et rapprochement

Nordhaven avait remboursé ses clients sur ses réserves et se présentait donc comme le demandeur. Les pays B et C ont restitué au pays A les fonds qu’ils détenaient, conformément à des mécanismes de restitution d’actifs du type de ceux prévus par la recommandation 38 ; chaque adresse de versement a été vérifiée au moyen d’un message signé avant le transfert (voir la leçon Recouvrement par les victimes et voies civiles). Pendant ce temps, de faux « agents de recouvrement » ont contacté les clients de Nordhaven ; la police a publié un avertissement indiquant qu’elle ne demanderait jamais de frais.

Le recouvrement représentait 72,9 % de la perte aux cours en vigueur au moment du vol ; les bitcoins, restitués en nature, ont été intégralement récupérés. Les pertes en ETH et en USDT (10 000 000 USD) ont été couvertes à hauteur de 62 % par les stablecoins et la monnaie fiduciaire.

Points clés pour l’examen : priorités de la première heure (éléments de départ, préservation, priorité aux actifs pouvant être gelés, demandes vérifiées, diffusion des indicateurs) ; évaluation de chaque lien selon l’échelle A–D et conservation de l’historique des niveaux lorsque les dossiers renforcent une inférence ; rapprochement des dépôts sur un pont avec les libérations ; attribution par niveaux, du cluster à la personne ; choix du levier adapté à chaque actif (émetteur, prestataire, banque, clés) ; évaluation des saisies et choix d’un retour en nature ; reconnaissance des limites lors du contre-interrogatoire ; rapprochement des montants recouvrés et perdus avec la perte totale.