Piratage Bitfinex : comment 7 milliards de dollars en bitcoin sont blanchis

En août 2016, des attaquants ont vidé 119 756 bitcoins de l'exchange Bitfinex. À l'époque, ces pièces valaient une fraction de leur valeur future. Au moment où la société d'analyse blockchain Elliptic a publié son analyse de traçage, les mêmes avoirs avaient atteint près de 7 milliards de dollars. Ce qui rend ce cas particulièrement instructif pour les professionnels de la conformité, ce n'est pas seulement l'ampleur du vol, mais le tableau détaillé de la façon dont des acteurs sophistiqués blanchissent des bitcoins sur des années, et ce que cela signifie pour les entreprises qui s'appuient sur des logiciels de comptabilité crypto pour filtrer les flux d'actifs numériques aujourd'hui.

Les bitcoins volés : toujours majoritairement en place

Les 119 756 pièces volées ont toutes été consolidées dans un seul portefeuille immédiatement après la brèche. Cette concentration sur un portefeuille unique est en soi un signal d'alerte que les outils de filtrage automatisé sont conçus pour détecter. Ce qui est frappant, des années plus tard, c'est la part du solde qui n'a pas bougé.

Les 79 % qui n'ont pas bougé

Selon l'analyse d'Elliptic, 79 % des pièces volées restaient dans le portefeuille de réception initial. Le voleur a déplacé relativement peu de fonds au cours des premiers mois, puis a montré un schéma de sorties périodiques qui s'est accéléré à mesure que le prix du bitcoin grimpait fortement. Un exemple notable : en avril 2021, 12 241 BTC, d'une valeur d'environ 774 millions de dollars à l'époque, ont été déplacés en un seul épisode. Le calendrier coïncide avec une hausse du prix du bitcoin supérieure à 700 % sur l'année précédente, ce qui suggère que la hausse de la valeur des actifs exerce une réelle pression sur les criminels pour qu'ils acceptent un risque de blanchiment qu'ils auraient pu différer autrement.

Pour les équipes comptables et de conformité, cette dynamique est importante. Un portefeuille longtemps dormant contenant des fonds entachés peut soudainement devenir actif lorsque les conditions de marché changent. La mise sous surveillance statique ne suffit pas ; la surveillance continue et automatisée des adresses de vol connues est le niveau de référence attendu dans la plupart des cadres LBC.

Les 21 % qui ont été déplacés

Parmi les pièces qui ont quitté le portefeuille d'origine, le mouvement a été délibéré et progressif. Elliptic a identifié deux techniques principales : les chaînes de pelage et l'empilement. Une chaîne de pelage décrit un schéma où un solde important est déplacé à travers une séquence d'adresses, avec une petite tranche redirigée vers une destination à chaque étape. L'empilement ajoute une complexité supplémentaire en acheminant les fonds à travers de nombreuses adresses intermédiaires sur différentes chaînes de transactions. Les deux techniques visent à épuiser les enquêteurs manuels. Le traçage automatisé, en revanche, peut suivre ces chaînes jusqu'à leur destination ultime en quelques millisecondes, quel que soit le nombre de sauts, une capacité qui a fondamentalement changé le calcul du risque pour les cybercriminels.

Où sont allés les fonds blanchis

L'analyse d'Elliptic classe la destination des pièces déplacées en trois catégories : les marchés du darknet, les portefeuilles de confidentialité et les exchanges. Les proportions sont révélatrices.

Marchés du darknet : 84 % des fonds blanchis

Le canal dominant a été les places de marché du darknet. L'activité de blanchiment a commencé en 2017 via Alphabay, alors le plus grand marché du darknet actif. Lorsque les autorités ont fermé Alphabay cette même année, les opérateurs se sont tournés vers Hydra, une place de marché russophone qui était devenue en 2020 le plus grand marché du darknet en activité au monde, enregistrant 1,4 milliard de dollars de paiements en bitcoin cette année-là seulement.

L'attrait d'Hydra dans ce contexte réside dans son infrastructure de conversion en espèces. Au-delà des narcotiques et des services illicites, la plateforme proposait des services de conversion permettant d'échanger des bitcoins contre des bons d'achat, des cartes prépayées ou des espèces en roubles, récupérées à des points de dépôt morts. Pour un cybercriminel opérant en Russie ou dans des juridictions voisines, cette voie évite toute interaction avec un exchange réglementé susceptible de procéder à un filtrage analytique de la blockchain. Environ 72 millions de dollars des bitcoins volés avaient transité par Hydra au moment de l'analyse d'Elliptic, avec des dépôts d'environ 3 millions de dollars par mois.

L'angle russe compte pour les équipes de conformité ayant une exposition mondiale. Les entreprises qui intègrent des contreparties ou des clients ayant un lien avec la Russie doivent traiter toute richesse en cryptomonnaie inexpliquée avec une vigilance accrue, en particulier compte tenu de l'utilisation documentée d'infrastructures darknet russophones dans des affaires de blanchiment de grande valeur. Cela rejoint directement le tableau plus large de l'application de la loi autour de l'infrastructure crypto russe sanctionnée que les régulateurs de multiples juridictions ciblent.

Portefeuilles de confidentialité : 12 % des fonds blanchis

La deuxième destination la plus importante est celle des portefeuilles de confidentialité, en particulier ceux utilisant des protocoles de transaction coinjoin. Le coinjoin fonctionne en combinant les entrées de plusieurs utilisateurs en une seule transaction, brisant la traçabilité univoque que permettent les transactions bitcoin standard. JoinMarket et Wasabi Wallet sont les deux outils identifiés dans l'analyse d'Elliptic.

En 2019, environ 612 des pièces volées ont trouvé leur chemin vers JoinMarket, pour une valeur d'un peu plus de 4 millions de dollars à la réception. En 2020, l'outil privilégié s'est déplacé vers Wasabi Wallet, avec 5,3 millions de dollars de bitcoins volés traités par ce biais et 1 million de dollars supplémentaires par mois encore en circulation au moment du rapport. La migration d'un outil à l'autre reflète une opération de blanchiment active et adaptative, et non une activité opportuniste ponctuelle.

Pour les équipes de conformité, les sorties coinjoin présentent un défi de filtrage spécifique. Les pièces ayant transité par un tour de coinjoin ont une traçabilité réduite pour les outils standard. Les analyses automatisées modernes y répondent en analysant les schémas statistiques à travers les clusters de coinjoin, mais les entreprises dont le logiciel de comptabilité crypto n'intègre pas de notation de risque en temps réel risquent de ne pas détecter les entrées entachées par coinjoin au moment de la réception.

Exchanges : 4 % des fonds blanchis, mais des renseignements critiques

Les exchanges représentent la plus petite part des fonds blanchis, et l'analyse en explique la raison. Les exchanges réglementés exécutent de plus en plus de filtrages automatisés de la blockchain, et les autorités peuvent les contraindre à divulguer l'identité des titulaires de comptes lorsque des dépôts suspects sont signalés. Cette combinaison a fait des exchanges conformes un canal à haut risque pour les criminels manipulant des bitcoins notoirement volés.

Les exchanges qui ont effectivement reçu des bitcoins volés de Bitfinex étaient majoritairement situés dans des juridictions à réglementation crypto limitée ou naissante, précisément parce que les obligations LBC y sont plus faibles ou non appliquées. Une part limitée mais significative a atteint des plateformes bien réglementées. Chacun de ces dépôts constitue une piste d'enquête potentielle, car les données KYC collectées à l'ouverture de compte peuvent relier une transaction à une identité réelle.

Du point de vue de la conformité, c'est l'argument en faveur de contrôles rigoureux de l'origine des fonds et d'un filtrage en temps réel de l'entachement au moment du dépôt. Votre flux de travail logiciel de comptabilité d'actifs numériques doit signaler toute transaction entrante qui remonte à un portefeuille de vol connu, même si elle est passée par de multiples sauts intermédiaires.

Implications LBC et comptables pour les équipes de conformité

Le schéma de blanchiment Bitfinex n'est pas une simple curiosité historique. Il illustre des techniques qui apparaissent de manière récurrente dans les actions d'application actuelles et qui affectent directement la façon dont les entreprises doivent configurer leur filtrage et leur tenue de registres.

Propagation de l'entachement et problème des sauts multiples

Les techniques de chaîne de pelage et d'empilement décrites ci-dessus sont conçues pour exploiter une faille qui existe lorsque le filtrage est purement basé sur des règles et peu profond dans sa profondeur de traçage. Une transaction éloignée de trois ou quatre sauts d'un portefeuille de vol connu ne déclenchera pas une simple correspondance d'adresses. Les entreprises qui s'appuient sur un examen manuel ou des outils de filtrage de première génération sont donc systématiquement sous-exposées à ce risque.

La meilleure pratique consiste à adopter un traçage qui suit les fonds à travers un nombre illimité de sauts et renvoie un score de risque pour la source ultime plutôt que pour l'expéditeur immédiat. Ce résultat doit alimenter directement le logiciel de comptabilité crypto de l'entreprise afin que les actifs entachés soient signalés avant d'être enregistrés comme recettes nettes au bilan.

Surveillance des portefeuilles dormants

La dormance décennale de la plupart des bitcoins de Bitfinex, ponctuée de mouvements soudains importants, crée une obligation spécifique pour les équipes de conformité. Les adresses de vol connues majeures doivent figurer sur une liste de surveillance permanente avec des alertes automatisées configurées pour toute sortie. Lorsque ces pièces bougent, les entreprises recevant des transactions en aval doivent le savoir immédiatement. Il ne s'agit pas d'un risque théorique ; les données d'Elliptic montrent que ces pièces sont encore activement dispersées.

Exposition juridictionnelle et lien russe

Le routage massif des fonds volés de Bitfinex via un marché du darknet russophone, combiné à des services de conversion en roubles, renforce la raison pour laquelle les transactions ayant un lien avec la Russie présentent un risque LBC élevé. Les entreprises opérant à l'échelle mondiale doivent s'assurer que leur notation du risque client reflète l'exposition juridictionnelle, et qu'une diligence raisonnable renforcée est appliquée systématiquement lorsque les contreparties ont des liens directs ou indirects avec des zones géographiques à haut risque. Pour un contexte sur l'évolution parallèle de l'infrastructure crypto réglementée de la Russie, voir notre couverture des premiers dépositaires crypto enregistrés en Russie.

En un coup d'œil : répartition des destinations des bitcoins blanchis de Bitfinex

Ce que les entreprises doivent faire dès maintenant

Le cas Bitfinex montre que le blanchiment des produits de vols majeurs est un processus de longue haleine, adaptatif, qui n'expire pas. Les équipes de conformité ne peuvent pas le traiter comme un dossier clos. Trois actions pratiques découlent de l'analyse d'Elliptic.

Examinez la profondeur de votre filtrage

Confirmez que votre filtrage des transactions couvre l'exposition indirecte aux adresses de vol connues par un traçage multi-sauts, et pas seulement par une correspondance directe d'adresses. Si votre logiciel de comptabilité crypto n'intègre pas les scores de risque des analyses automatisées de la blockchain, cette lacune doit être comblée. Le cadre de l'Autorité LBC de l'UE, les orientations JMLSG du Royaume-Uni et les recommandations actualisées du GAFI sur les actifs virtuels pointent tous vers une approche basée sur le risque qui exige implicitement un traçage de l'origine des fonds au-delà de la contrepartie immédiate. Pour plus de contexte sur la façon dont l'IA est appliquée à ce problème à grande échelle, voir notre article précédent sur l'analyse blockchain alimentée par l'IA pour la détection LBC.

Intégrez la détection coinjoin dans le filtrage des entrées

Les sorties des portefeuilles de confidentialité doivent être considérées comme à risque élevé par défaut. Une sortie coinjoin n'est pas nécessairement criminelle, mais elle indique une tentative active d'obscurcir l'historique des transactions. La politique de votre entreprise doit préciser comment sont traitées les entrées provenant de coinjoin : diligence raisonnable renforcée, demandes d'origine des fonds, ou rejet pur et simple selon votre appétit pour le risque et vos obligations réglementaires.

Maintenez des listes de surveillance permanentes pour les adresses de vol connues

Les contrôles statiques à l'ouverture de compte ne détectent pas les portefeuilles dormants qui se réactivent des années plus tard. La surveillance continue des clusters d'adresses à haut risque connus est le seul moyen de garantir qu'un mouvement soudain de fonds volés détenus depuis longtemps déclenche les bonnes alertes avant qu'un dépôt en aval n'atteigne vos livres. S'assurer que votre logiciel de comptabilité d'actifs numériques signale ces alertes en temps réel, plutôt que par lots, réduit la fenêtre entre la réception et la détection.

Questions fréquentes

Qu'est-ce qu'une chaîne de pelage et pourquoi est-ce important pour la conformité ?

Une chaîne de pelage est une technique de blanchiment où un solde important de bitcoins est déplacé à travers une séquence d'adresses, avec une petite portion envoyée à une destination finale à chaque étape. Le reste est « pelé » vers l'adresse suivante de la chaîne. C'est important pour la conformité car cela peut rendre le traçage manuel impraticable, et parce que les outils de filtrage peu profonds qui ne vérifient que l'expéditeur immédiat ne détecteront pas la source entachée d'origine.

Comment le coinjoin dissimule-t-il les fonds volés, et peut-il être détecté ?

Le coinjoin combine les entrées de plusieurs utilisateurs en une seule transaction, brisant le lien direct entre l'expéditeur et le destinataire. Les pièces ayant transité par un tour de coinjoin sont plus difficiles à retracer jusqu'à leur origine. Les plateformes d'analyse avancées y répondent en analysant les schémas au niveau des clusters à travers les tours de coinjoin, mais les entreprises doivent s'assurer que leur filtrage intègre ces capacités plutôt que de s'appuyer sur une simple correspondance d'adresses.

Pourquoi les marchés du darknet sont-ils le canal de blanchiment dominant pour ces fonds ?

Les marchés du darknet comme Hydra offraient des services de conversion en espèces qui transformaient les bitcoins en liquidités physiques ou en instruments prépayés sans aucune vérification d'identité. Pour un criminel cherchant à éviter les exchanges réglementés dotés d'un filtrage analytique de la blockchain, cette voie contourne les contrôles KYC et LBC qui signaleraient autrement les dépôts entachés. Le format de conversion en roubles est particulièrement attractif pour les acteurs opérant dans des juridictions russophones.

Quel traitement comptable s'applique lorsqu'une entreprise reçoit sans le savoir des bitcoins entachés ?

Cela dépend de la juridiction, mais le principe général est que si une entreprise reçoit des actifs entachés et les gèle ou les remet ensuite à la suite d'une demande des autorités, ces actifs ne peuvent pas être comptabilisés comme des revenus ou comme un actif net au bilan. Les entreprises doivent documenter le résultat du filtrage à la réception, l'action de gel et toute notification réglementaire. Les enregistrements du logiciel de comptabilité crypto peuvent devoir être modifiés pour reclasser l'actif, et un conseil juridique ainsi que le responsable de la conformité LBC doivent être impliqués immédiatement.

L'affaire Bitfinex affecte-t-elle les entreprises qui n'ont jamais traité directement du BTC ?

Oui, indirectement. Les techniques de blanchiment documentées ici, y compris les chaînes de pelage, le coinjoin et le routage via les marchés du darknet, ne sont pas propres à ce cas. Elles apparaissent dans de nombreuses actions d'application impliquant d'autres actifs numériques volés ou illicites. Toute entreprise traitant du bitcoin ou des dérivés de bitcoin enveloppé doit considérer ces schémas comme des indicateurs de risque actuels, et non comme des artefacts historiques.

Source : Elliptic